Kontrola vibe coded aplikací
Aplikaci jste postavili s Claude Code, Cursorem, Lovable, Bolt nebo jiným AI agentem a funguje. Než ji ale pustíte k zákazníkům a jejich datům, je dobré vědět, co v ní doopravdy je. AI píše rychle a přesvědčivě, jenže stejně rychle dokáže vynechat kontrolu oprávnění nebo vložit klíč přímo do kódu. Vibe coding sám používám každý den a učím ho, takže vím, kde agenti chybují nejčastěji.
Bezpečnostní audit
Projdu kód a konfiguraci podle OWASP ASVS a zaměřím se na to, co se u aplikací psaných AI opakuje:
- tajné klíče a hesla v kódu, v gitu nebo v JavaScriptu, který dostane každý návštěvník
- řízení přístupu – jestli se uživatel nedostane k datům jiného uživatele jen změnou ID v adrese, a jestli backend kontroluje oprávnění, ne jen skryté tlačítko ve frontendu
- databáze a backend jako služba (Supabase, Firebase) – pravidla přístupu k datům, která bývají vypnutá nebo příliš volná
- přihlášení a session – ukládání hesel, obnova hesla, odhlášení, platnost tokenů
- vstupy – XSS, SQL injection, nahrávání souborů
- závislosti – zastaralé balíčky se známými zranitelnostmi a balíčky, které si AI „vymyslela“ a které někdo mezitím zaregistroval
- AI funkce v aplikaci – prompt injection, únik dat přes chatbota a to, co smí model sám udělat
Audit dobré praxe
Druhá půlka je o tom, jestli se aplikace dá dál rozvíjet, nebo se při každé změně rozpadne:
- struktura kódu – duplicity, příliš velké soubory a funkce, mrtvý kód, nekonzistentní řešení stejných věcí
- testy – jestli existují, jestli testují to podstatné a jestli vůbec procházejí
- CI a nasazení – automatické kontroly před nasazením, oddělené prostředí pro vývoj a produkci, konfigurace mimo kód
- chyby a logování – co uvidí uživatel, když něco selže, a jestli se o tom dozvíte vy
- zálohy a obnova dat
- dokumentace a pravidla pro agenta (
AGENTS.md,CLAUDE.md), aby další práce s AI navazovala, místo aby začínala od nuly
Co dostanete
Seznam nálezů seřazený podle závažnosti. U každého je popis, proč je to problém, kde přesně v kódu je, doporučení a odhad pracnosti. Navrch krátké shrnutí: co opravit před spuštěním, co může počkat a co je v pořádku.
Opravy můžu rovnou udělat, nebo je předám vašemu týmu či agentovi jako konkrétní úkoly. Kontroly, které to jde automatizovat (statická analýza, audit závislostí, hledání klíčů), nastavím do CI, aby hlídaly každou další změnu.
Na co se zaměřuji
Pracuji s kódem a konfigurací aplikace, nezáleží na tom, jestli je v PHP, Pythonu, nebo JavaScriptu/TypeScriptu. Penetrační testy infrastruktury nedělám. Další bezpečnostní služby jsou na stránce Bezpečnost webů .
Často kladené otázky
Musím vám dát přístup k produkci?
Ne. Stačí mi přístup ke zdrojovému kódu (repozitář nebo export) a popis, kde a jak aplikace běží.
Kód nikdo z nás nečetl, napsala ho celý AI. Vadí to?
Nevadí, právě pro takové aplikace je tahle služba. Výsledky popíšu tak, aby jim rozuměl i člověk, který kód nepíše.
Naučíte nás to dělat sami?
Ano. Jak vést AI agenta tak, aby výsledek byl udržovatelný a bezpečný, učím na kurzu Vibe coding – vibe engineering
.