Vibe coding mění vývoj softwaru – ale kdo kontroluje váš kód?

Vytvořit webovou aplikaci dříve vyžadovalo měsíce učení programování, najímání drahých vývojářů nebo smíření se s omezeními no-code nástrojů. Pak přišli AI asistenti pro psaní kódu – a všechno se změnilo.

Dnes podnikatelé bez jakýchkoli zkušeností s programováním spouštějí funkční webové aplikace během dní, nikoli měsíců. K tomu využívají nástroje jako Cursor, ChatGPT nebo Claude a „vibe codují“ cestu k hotovému produktu. Popište, co chcete, iterujte s AI a sledujte, jak vaše aplikace ožívá. Zní to jako magie. A v mnoha ohledech skutečně je.

Ale tohle nikdo neřeší: Kdo vlastně kontroluje, zda je ten kód bezpečný, logicky správný a připravený na produkci?

---

Co je vibe coding?

„Vibe coding“ popisuje nový způsob, jakým lidé tvoří software za pomoci AI. Místo psaní kódu řádek po řádku na základě hlubokých technických znalostí spolupracujete s AI:

1. Popište, co má vaše aplikace dělat
2. AI vygeneruje kód
3. Otestujete ho, dáte zpětnou vazbu, iterujete
4. AI upraví a znovu vygeneruje
5. Opakujte, dokud to nebude „správně cítit“

Kódujete na základě intuice a požadovaných výsledků – „vibe“ – spíše než na základě tradičních programátorských dovedností.

Výhoda? Vývoj je nyní dostupný komukoli s nápadem a ochotou učit se. Sólo zakladatelé mohou vytvořit MVP bez vypalování 50 000 dolarů za agenturní vývoj. Malé firmy mohou vytvářet vlastní nástroje bez celého inženýrského týmu.

Nevýhoda? Spouštíte kód, kterému plně nerozumíte, napsaný AI, která nerozumí vašemu business kontextu, bezpečnostním požadavkům ani reálným okrajovým případům.

---

Problém: AI neví, co neví

AI asistenti pro psaní kódu jsou neuvěřitelně sofistikovaní. Byli trénováni na milionech řádků kódu a dokáží generovat funkční funkce rychleji, než většina lidských vývojářů dokáže psát. Ale mají slepá místa. Velká.

1. Bezpečnostní zranitelnosti

AI generuje kód na základě vzorů, které viděla. Může vytvořit přihlašovací systém, který funguje perfektně – dokud někdo nevyzkouší SQL injection, session hijacking nebo credential stuffing.

Reálný příklad: AI-generovaný autentizační tok může:

• Ukládat hesla bez správného hashování
• Povolit neomezený počet pokusů o přihlášení (žádný rate limiting)
• Vystavovat citlivá data v API odpovědích
• Používat zastaralé nebo zranitelné závislosti

Aplikace funguje při testování. Ale jakmile jde živě, stává se terčem.

2. Chyby v business logice

Vaše AI rozumí syntaxi. Nerozumí vašim business pravidlům.

Řekněme, že vytváříte rezervační platformu. Popíšete: „Uživatelé mohou rezervovat schůzky a když je zruší, vrátíme jim peníze.“ AI může vygenerovat kód, který:

• Zpracovává rušení
• Vydává refundace
• Nekontroluje, zda je schůzka v rámci storno lhůty
• Refunduje i když již byla služba poskytnuta
• Umožňuje dvojí rezervaci při simultánním kliknutí dvou uživatelů

Kód běží. Ale vaše firma ztrácí peníze.

3. Výkonnostní problémy

AI často upřednostňuje „funkční“ před „efektivním“. Vaše vibe coded aplikace může:

• Načítat každý záznam z databáze místo stránkování
• Volat 50 API volání, když by stačila 2
• Ukládat vše do paměti místo strategického cachování

Výsledek? Prvních 50 uživatelů nezaznamená žádné problémy. Uživatel č. 500 sleduje, jak se vaše aplikace zastavuje.

4. Okrajové případy a zpracování chyb

AI generuje „šťastnou cestu“ – když vše jde správně. Ale produkční aplikace musí zvládat i situace, kdy věci jdou špatně:

• Co když platební brána vyprší uprostřed transakce?
• Co když uživatel nahraje 500MB soubor do formuláře očekávajícího obrázky?
• Co když někdo pošle nesprávně formátovaná data do vašeho API?

To jsou scénáře, které AI přirozeně nepředvídá, pokud je explicitně nezadáte – což vyžaduje vědět, že vůbec existují.

---

Proč automatizované nástroje nestačí

„Ale počkejte,“ možná si říkáte, „nemůžu prostě spustit automatický bezpečnostní skener?“

Ano. A měli byste. Nástroje jako Snyk, SonarQube nebo GitHub Dependabot jsou vynikající pro zachycení známých zranitelností, zastaralých závislostí a běžných code smells.

Ale nedokážou:

• Porozumět vaší specifické business logice
• Testovat skutečné uživatelské toky v kontextu
• Identifikovat logické chyby unikátní pro vaši aplikaci
• Posoudit, zda vaše architektura dává smysl pro váš případ použití
• Vysvětlit, proč je něco problém, slovy, kterým rozumíte

Automatizované skenery nacházejí vzory. Nedokážou kriticky přemýšlet o vaší aplikaci tak, jak dokáže zkušený vývojář.

Přemýšlejte o tom takto: Kontrola pravopisu zachytí překlepy, ale neřekne vám, zda váš obchodní návrh skutečně dává smysl. To je rozdíl mezi automatizovanými nástroji a lidskou revizí kódu.

---

Co se skutečně stane, když věci jdou špatně

Pojďme mluvit o reálných důsledcích – ne teoretických rizicích.

Scénář 1: Únik dat

Spustíte svou SaaS aplikaci. O tři měsíce později vás kontaktuje bezpečnostní výzkumník: „Vaše API vystavuje e-mailové adresy uživatelů a hesla v plaintextu v hlavičkách odpovědí.“

Neměli jste ponětí. Vaše AI-generovaná autentizace zdánlivě fungovala. Nikdy vás nenapadlo zkontrolovat surové HTTP odpovědi.

Nyní musíte:

• Upozornit všechny uživatele (právně povinné v mnoha jurisdikcích)
• Vynutit reset hesel pro všechny
• Vypořádat se s potenciálními pokutami GDPR
• Obnovit důvěru zákazníků, kteří přehodnocují své předplatné

Scénář 2: Logická bomba

Vaše marketplace aplikace umožňuje prodejcům výpis produktů. AI-generovaná cenová funkce se zdála perfektní – dokud prodejce neobjevil, že může nastavit záporné ceny, čímž efektivně dostával zaplaceno za rozdávání produktů.

Zpracovali jste 12 000 dolarů v podvodných transakcích, než si to všimnete.

Výsledek: Pokuty od platebního procesoru, poplatky za zpracování refundací a vážné poškození kredibility.

Scénář 3: Výkonnostní kolaps

Vaše aplikace se virálně rozšířila. Náhle se denně registruje 5 000 uživatelů místo 50. Databázové dotazy, které AI vygenerovala? Nebyly optimalizovány. Váš server nyní při každém načtení stránky timeoutuje.

Zákazníci jsou naštvaní. Vaše hostingové náklady explodovaly. Ztrácíte uživatele tak rychle, jak přicházejí.

Potřebujete senior vývojáře, aby to opravil – ale teď jste v krizovém módu a platíte havarijní sazby.

---

Co byste tedy měli dělat?

Znamená to, že byste neměli používat AI coding nástroje? Rozhodně ne. Vibe coding je revoluční. Demokratizuje vývoj softwaru. Je to mocný nástroj.

Ale jako každý mocný nástroj potřebuje dohled.

Osvědčené postupy pro vibe coded aplikace:

1. Pochopte, co stavíte (i když ne jak) Nemusíte psát kód, ale měli byste rozumět bezpečnostním implikacím vaší aplikace. Zpracováváte platby? Ukládáte uživatelská data? Proveďte základní výzkum toho, co to vyžaduje.

2. Používejte automatizované nástroje jako první linii obrany Spouštějte bezpečnostní skenery. Kontrolujte závislosti. Používejte linters. Levně zachytí zjevné problémy.

3. Testujte jako uživatel – a jako útočník Zkuste rozbít svou vlastní aplikaci. Co se stane, když:

• Zadáte neplatná data?
• Přeskočíte kroky v procesu?
• Kliknete na věci v neočekávaném pořadí?
• Nahrajete podivné typy souborů?

4. Před spuštěním nechte udělat odbornou revizi lidmi Zvláště pokud vaše aplikace:

• Zpracovává citlivá uživatelská data
• Zpracovává platby
• Provádí business-kritická rozhodnutí
• Mohla by způsobit finanční ztrátu, pokud se rozbije

Zkušený vývojář dokáže za hodiny odhalit problémy, jejichž objevení by vám mohlo trvat měsíce v produkci – pokud je vůbec objevíte.

---

Kdy si nechat udělat profesionální revizi AI kódu

Ne každý vibe coded projekt potřebuje kompletní audit. Jednoduchá landing page? Pravděpodobně v pořádku.

Ale měli byste vážně zvážit profesionální revizi, pokud:

• Vaše aplikace zpracovává autentizaci uživatelů nebo osobní údaje
• Zpracováváte platby nebo finanční transakce
• Aplikace provádí automatizovaná rozhodnutí, která ovlivňují vaše podnikání
• Chystáte se veřejně spustit a získat skutečné uživatele
• Narazili jste na chybu, kterou nedokážete opravit
• Vaše aplikace funguje při testování, ale za zátěže se chová podivně

Co profesionální revize kódu zahrnuje:

• Bezpečnostní audit: Autentizace, autorizace, zpracování dat, API bezpečnost
• Ověření logiky: Odpovídá vaše business logika skutečně vašim požadavkům?
• Testování uživatelských toků: Skuteční lidé používající vaši aplikaci jako zákazníci
• Kontrola výkonu: Bude to škálovat za prvních 100 uživatelů?
• Zpracování chyb: Co se stane, když věci jdou špatně?

Přemýšlejte o tom jako o pojištění. Můžete spustit bez něj a doufat v nejlepší. Nebo můžete investovat pár set dolarů nyní, abyste se vyhnuli potenciálně katastrofálním problémům později.

---

Závěr

AI coding nástroje jsou neuvěřitelné. Nikam nezmizí. Jen se zlepšují.

Ale AI generuje kód na základě vzorů, ne porozumění. Nedokáže posoudit, zda je vaše konkrétní bezpečnostní nastavení adekvátní. Nedokáže kriticky přemýšlet o vaší business logice. Nedokáže testovat okrajové případy, pro které ji explicitně nenainstruujete.

Vibe coding vás dostane 80 % cesty k funkční aplikaci, neuvěřitelně rychle. Těch posledních 20 % – bezpečnost, validace logiky, připravenost na produkci – stále vyžaduje lidskou odbornost.

Dobrá zpráva? Nemusíte se sami stát senior vývojářem. Stačí rozpoznat, kdy ho přizvat.

Protože nejhorší čas na zjištění, že vaše vibe coded aplikace má vážné problémy? Po spuštění, po získání uživatelů, a když se něco rozbije v produkci.

Nejlepší čas? Právě teď, než se někdo zraní.