Audit vibecodované aplikace
Postavili jste si ve firmě aplikaci pomocí AI a rozhodujete se, jestli je bezpečné ji spustit naostro? Projdu ji jako vývojář s dvaceti lety praxe a řeknu vám na rovinu, jaká rizika v ní jsou a co s nimi.
Pro koho audit je
Typická situace vypadá takhle: majitel nebo někdo z vedení si pomocí nástrojů jako Claude Code, Cursor nebo Codex postavil aplikaci, která ve firmě opravdu funguje. Řeší reálný problém, lidé ji používají a teď se rozhoduje, co dál. Pustit ji k zákazníkům? Napojit na citlivá data? Předat vývojářům k dalšímu rozvoji?
Přesně v tu chvíli dává smysl, aby se na aplikaci podíval člověk, který se vývojem živí. AI nástroje umí napsat funkční aplikaci, ale bez zkušeného dohledu v ní nechávají chyby, které se projeví až v provozu: hesla uložená přímo v kódu, díry v oprávněních nebo data, která se při chybě tiše poškodí.
Audit není známkování toho, kdo aplikaci psal. Vibecodovaná aplikace, která řeší skutečný problém, je dobrý začátek. Audit vám řekne, co dotáhnout, aby byl bezpečný i zbytek cesty.
Co dostanete
Písemný report
Soupis nalezených rizik seřazený podle závažnosti, psaný tak, aby mu rozuměl i nevývojář. U každého nálezu je jasné, co znamená pro provoz firmy.
90 minut konzultace
Report spolu projdeme. Vysvětlím souvislosti, odpovím na otázky a proberete se mnou, co dává smysl řešit hned a co počká.
Doporučení dalších kroků
Odnesete si jasnou představu, co opravit před spuštěním, co ohlídat při dalším vývoji a jestli je aplikace dobrým základem pro růst.
Na jaká rizika se dívám
Cílem není formální kontrola kvality kódu podle příručky. Zajímá mě, co by vaši firmu mohlo reálně ohrozit nebo brzdit.
Únik citlivých údajů
Hesla a přístupové klíče napsané přímo v kódu, reálná data zákazníků v repozitáři nebo v uložené historii konverzací s AI. Časté nálezy s přímým dopadem na GDPR.
Přístupy a oprávnění
Kdo se k čemu dostane. Typicky nacházím části aplikace, kde kontrola oprávnění chybí a citlivé operace může spustit kterýkoli přihlášený uživatel.
Provoz a nasazení
Kde a jak aplikace běží, co se stane při výpadku, jestli existují zálohy a jestli jde změny bezpečně vyzkoušet mimo ostrý provoz.
Konzistence dat
Jestli může vzniknout stav, kdy se data tiše poškodí nebo rozejdou s realitou: napůl dokončené operace, mazání bez stopy, pravidla, která jde obejít.
Závislosti a komunikace
Na kterých externích službách aplikace stojí, jak zabezpečeně s nimi komunikuje a co se stane, když některá z nich vypadne.
Rozšiřitelnost
Jak drahé bude aplikaci dál rozvíjet. Jestli se v kódu vyzná další vývojář, nebo každá změna riskuje rozbití něčeho jiného.
Jak audit probíhá
Úvodní hovor
Krátce si řekneme, co aplikace dělá, z čeho je postavená a co od auditu čekáte. Na konci hovoru znáte přesný rozsah i termín.
Přístup k repozitáři
Většinou stačí pozvánka do repozitáře na GitHubu nebo GitLabu. Monorepo i více repozitářů je v pořádku, cena platí za projekt.
Analýza a report
Projdu kód i provozní nastavení a do týdne pošlu písemný report s riziky seřazenými podle závažnosti.
90 minut nad reportem
Nálezy spolu projdeme a domluvíme se, co dál. Tím audit končí. Pokud budete chtít pomoct s nápravou, můžeme se bavit o dalším kroku, ale není to podmínka.
Kdo se vám na aplikaci podívá
Jmenuji se Marek Andrášik. Produktovým vývojem se živím skoro dvacet let, prošel jsem třemi globálními produkty a mám za sebou přes sto projektů.
AI nástroje používám při vývoji každý den, takže dobře znám jejich silné stránky i chyby, které v kódu nechávají. Závěry a doporučení v reportu jsou moje. Stojím za nimi jménem a na konzultaci vám je osobně vysvětlím a obhájím.
Časté otázky
Co je vibecodovaná aplikace?
Aplikace napsaná převážně AI nástroji, jako jsou Claude Code, Cursor nebo Codex, obvykle člověkem, který se vývojem softwaru neživí. Zadání píše člověk, kód píše AI. Říká se tomu vibecoding nebo vibe coding.
Aplikaci psal někdo z vedení firmy. Je to problém?
To je nejčastější případ a je to dobrá zpráva: vznikl nástroj, který firmě reálně pomáhá. Audit slouží k tomu, aby se z dobrého nápadu nestal bezpečnostní incident, až aplikace dostane citlivá data nebo zákazníky.
Co od nás budete potřebovat?
Krátký úvodní hovor a potom přístup do repozitáře, typicky pozvánku na GitHub nebo GitLab. Všechno ostatní si domluvíme na hovoru.
Jak dlouho audit trvá?
Písemný report posílám do týdne od chvíle, kdy dostanu přístup k repozitáři. Potom si domluvíme termín 90minutové konzultace, na které report projdeme.
Kolik audit stojí?
Cena je 12 000 Kč bez DPH za projekt. Zahrnuje analýzu, písemný report i 90 minut konzultace nad výsledky.
Co když audit najde vážné problémy?
Většina nálezů se dá opravit, málokdy je potřeba aplikaci zahodit a psát znovu. V reportu je u každého rizika uvedena závažnost, takže víte, co vyřešit před spuštěním a co počká.
Pomůžete nám nálezy i opravit?
Pokud budete chtít, navrhnu plán nápravy, opravy udělám sám nebo je projdu s vaším vývojářem. Audit ale funguje i samostatně a žádná návazná objednávka není podmínkou.
Má audit smysl i pro aplikaci z nástrojů jako Lovable nebo Bolt?
Ano. Většina aplikací, které audituju, vzniká v Claude Code, Cursoru nebo Codexu, protože bývají složitější. Rozhodující ale je, jestli aplikace pracuje s reálnými daty a jestli na ní firma závisí, ne v čem vznikla.
Chcete vědět, na čem jste?
Začneme krátkým hovorem. Řeknete mi, co aplikace dělá, a já vám na rovinu řeknu, jestli pro vás audit má smysl.