Audit aplikace postavené s AI: co zakladatel potřeboval slyšet

Jak to začalo: zakladatel chtěl vědět, jestli jeho produkt postavený s AI vydrží · Trvání: spolupráce od července do října 2026

Přehled

Zakladatel není profesionální vývojář. Produkt si postavil sám, s AI. Produkt fungoval a zákazníci za něj platili.

Chtěl vědět tři věci. Vydrží to? Může do kódu pustit dalšího vývojáře? A nepotopí ho jedna chyba?

Moment: první věta verdiktu

Plný audit byl dlouhý a správný. Nikdo by ho celý nečetl. První věta verdiktu proto zněla: „Nic z toho není armagedon.“

Většina nejdůležitějších oprav byla na pár hodin. Zakladatel potřeboval vědět, kde začít, ne slyšet, že je všechno špatně.

Co jsme našli

Kód nebyl špatný. Byl nekonzistentní. To je pro kód od AI typické.

AI udělá bezpečnostní kontrolu jednou dobře a na dalším místě ji vynechá. Nastavení, která mají být povinná, zůstanou volitelná. Provoz často stojí na jednom člověku. AI vám napíše kód. Neřekne vám, co jste zapomněli nastavit.

Jak jsme to ověřili

Bezpečnostní test nesmí způsobit incident, který hledá. Díry jsme proto dokazovali bez stažení jediného souboru. Často stačí rozdíl v odpovědi serveru mezi chráněným a nechráněným místem.

Žádná skutečná data, žádné hádání hesel, žádné zápisy. Zpráva končí seznamem toho, co jsme nedělali.

Co zakladatel dostal

Audit jsme rozdělili na tři části:

• krátký verdikt na pár stran s věcmi na jeden večer,
• nálezy s přesnými místy v kódu,
• standardy, ke kterým se může vracet při dalším vývoji.

Doporučení jsme nepsali jako „tohle tě pálí“. Psali jsme, co mu oprava odemkne: dalšího vývojáře, první bezpečnostní dotazník od zákazníka, klidný víkend.

Co jsme doporučili nedělat

Audit nabízel snadný prodej: velký přepis a novou architekturu. Napsali jsme opak. Dnešní rozdělení kódu stačí. Přísnější pravidla v kódu přijdou postupně, od přihlášení a oprávnění. Žádný velký přepis naráz.

Nejdražší rada je technicky správná a přijde příliš brzy.

Co se nepovedlo

První zjištění jsme poslali jako seznam hned po prvním hovoru. Samotný seznam nestačil. Věci, které vidí zákazníci, dostanou přednost. Věci, které nikdo nevidí, dokud se nerozbijí, počkají. Proto má verdikt pořadí kroků, ne jen seznam.

Co se změnilo

Zakladatel ví, co je pod povrchem jeho produktu. Má pořadí kroků, které zvládne sám. Kód i všechno, co jsme sepsali, patří jemu.

Co jsme dodali