Kolik z 10 bran zastaví špatný AI kód ve vašem CI?

Pro CTO a tech leady, jejichž tým už píše kód s Claude Code, Codex nebo Cursor. Pravidlo v AGENTS.md agent může obejít. Bránu v CI ne. Ukázky jsou pro GitHub Actions a pnpm. V GitLab CI je každá brána stejný příkaz ve script:.

AI dnes píše veškerý náš kód a za výsledek odpovídá senior. Většina ukázek pochází z našeho veřejného repozitáře claude-code-production-starter, kde je najdete celé.

1. Které brány už máte?

Zaškrtněte jen to, co opravdu zablokuje sloučení. Brána, která jen hlásí, se nepočítá.

2. Deset bran s ukázkami

01

Lint blokuje sloučení

Lint, který jen varuje, agent ignoruje. Spouštějte ho v CI a nechte ho selhat. Když zavádíte nové přísné pravidlo do starého kódu, dnešní porušení zaznamenejte a CI ať selže, když jich přibude.

- run: pnpm lint --max-warnings 0

02

Typová kontrola ve strict režimu

Agent rád přepíše typ na any, aby kód prošel. Strict režim a samostatný krok v CI to zastaví.

# tsconfig.json: "strict": true
- run: pnpm exec tsc --noEmit

03

Testy jsou povinné a něco dokazují

Test, který projde i na hlavní větvi, nedokazuje nic. Změněný zdrojový kód potřebuje změněný test a ten musí na hlavní větvi selhat a na vaší projít. Výjimku (čistý refaktoring) schvaluje člověk štítkem, ne agent.

- name: Změněné testy selžou na base a projdou tady
  if: "!contains(github.event.pull_request.labels.*.name, 'skip-red-proof')"
  run: bash scripts/gate.sh red-proof "origin/${{ github.base_ref }}"

04

Zakázané vzory

Některé zkratky agentů se dají najít obyčejným hledáním: .only v testu, vypnutá typová kontrola, vypnutý lint. Nechte je selhat v CI.

- name: Zakázané vzory
  run: "! git grep -nE '(it|test|describe)\\.only\\(|@ts-ignore|eslint-disable' -- src tests"

05

Sken tajemství

Klíč v commitu je problém i po jeho smazání, zůstává v historii. Skenujte před commitem (hook) i v CI.

- uses: actions/checkout@v5
  with:
    fetch-depth: 0
- run: docker run --rm -v "$PWD:/repo" ghcr.io/gitleaks/gitleaks:latest git /repo --redact

06

Strážce migrací

Migraci databáze nejde vrátit tak snadno jako kód. PR, který mění migrace, projde jen se štítkem od člověka. Spuštění produkční migrace v nastavení agenta vyžaduje potvrzení.

- name: Migrace jen se štítkem
  if: "!contains(github.event.pull_request.labels.*.name, 'migration-ok')"
  run: "! git diff --name-only origin/${{ github.base_ref }}... | grep -E '(^|/)migrations/'"

07

Kontrola závislostí

Agent přidá balíček, když ho úkol potřebuje. Ověřte, že nemá známou vážnou zranitelnost, a nechte závislosti pravidelně aktualizovat.

- run: pnpm audit --audit-level high
# .github/dependabot.yml: package-ecosystem npm, schedule weekly

08

Šablona PR se sekcí o AI

PR musí říct, jak byla změna ověřena a co autor neudělal. Reviewer pak ví, kam se podívat.

## Jak to bylo ověřeno
- [ ] gate je zelený včetně red-proof
- [ ] žádný test nebyl oslaben, přeskočen ani smazán

## Co psal agent a co autor zkontroloval
<!-- Které části generoval agent, co jste prošli řádek po řádku. -->

## Co není hotové

09

Pravidlo pro review

Změnu schvaluje člověk, který ji nepsal. Pravidla pro agenty a CI mění jen jejich vlastníci, jinak si agent časem uvolní vlastní brány.

# .github/CODEOWNERS
*             @vase-firma/tym
/.claude/     @vase-firma/vlastnik-pravidel
/.github/     @vase-firma/vlastnik-pravidel
/AGENTS.md    @vase-firma/vlastnik-pravidel

10

Chráněná větev

Všechno výše platí, jen pokud hlavní větev nejde obejít. Jedna souhrnná kontrola ci, povinný PR, schválení od vlastníka kódu a pravidla i pro administrátory.

gh api -X PUT repos/VASE-FIRMA/REPO/branches/main/protection \
  -F 'required_status_checks[strict]=true' -f 'required_status_checks[contexts][]=ci' \
  -F 'required_pull_request_reviews[required_approving_review_count]=1' \
  -F 'required_pull_request_reviews[require_code_owner_reviews]=true' \
  -F enforce_admins=true -F restrictions=null