Koľko z 10 brán zastaví zlý AI kód vo vašom CI?

Pre CTO a tech leadov, ktorých tím už píše kód s Claude Code, Codex alebo Cursor. Pravidlo v AGENTS.md agent môže obísť. Bránu v CI nie. Ukážky sú pre GitHub Actions a pnpm. V GitLab CI je každá brána ten istý príkaz v script:.

AI dnes píše všetok náš kód a za výsledok zodpovedá senior. Väčšina ukážok pochádza z nášho verejného repozitára claude-code-production-starter, kde ich nájdete celé.

1. Ktoré brány už máte?

Zaškrtnite len to, čo naozaj zablokuje zlúčenie. Brána, ktorá iba hlási, sa nepočíta.

2. Desať brán s ukážkami

01

Lint blokuje zlúčenie

Lint, ktorý len varuje, agent ignoruje. Spúšťajte ho v CI a nechajte ho zlyhať. Keď zavádzate nové prísne pravidlo do starého kódu, dnešné porušenia zaznamenajte a CI nech zlyhá, keď ich pribudne.

- run: pnpm lint --max-warnings 0

02

Typová kontrola v strict režime

Agent rád prepíše typ na any, aby kód prešiel. Strict režim a samostatný krok v CI to zastavia.

# tsconfig.json: "strict": true
- run: pnpm exec tsc --noEmit

03

Testy sú povinné a niečo dokazujú

Test, ktorý prejde aj na hlavnej vetve, nedokazuje nič. Zmenený zdrojový kód potrebuje zmenený test a ten musí na hlavnej vetve zlyhať a na vašej prejsť. Výnimku (čistý refaktoring) schvaľuje človek štítkom, nie agent.

- name: Zmenené testy zlyhajú na base a prejdú tu
  if: "!contains(github.event.pull_request.labels.*.name, 'skip-red-proof')"
  run: bash scripts/gate.sh red-proof "origin/${{ github.base_ref }}"

04

Zakázané vzory

Niektoré skratky agentov sa dajú nájsť obyčajným hľadaním: .only v teste, vypnutá typová kontrola, vypnutý lint. Nechajte ich zlyhať v CI.

- name: Zakázané vzory
  run: "! git grep -nE '(it|test|describe)\\.only\\(|@ts-ignore|eslint-disable' -- src tests"

05

Sken tajomstiev

Kľúč v commite je problém aj po jeho zmazaní, ostáva v histórii. Skenujte pred commitom (hook) aj v CI.

- uses: actions/checkout@v5
  with:
    fetch-depth: 0
- run: docker run --rm -v "$PWD:/repo" ghcr.io/gitleaks/gitleaks:latest git /repo --redact

06

Strážca migrácií

Migrácia databázy sa nedá vrátiť tak ľahko ako kód. PR, ktorý mení migrácie, prejde len so štítkom od človeka. Spustenie produkčnej migrácie v nastaveniach agenta vyžaduje potvrdenie.

- name: Migrácie len so štítkom
  if: "!contains(github.event.pull_request.labels.*.name, 'migration-ok')"
  run: "! git diff --name-only origin/${{ github.base_ref }}... | grep -E '(^|/)migrations/'"

07

Kontrola závislostí

Agent pridá balík, keď ho úloha potrebuje. Overte, že nemá známu vážnu zraniteľnosť, a nechajte závislosti pravidelne aktualizovať.

- run: pnpm audit --audit-level high
# .github/dependabot.yml: package-ecosystem npm, schedule weekly

08

Šablóna PR so sekciou o AI

PR musí povedať, ako bola zmena overená a čo autor neurobil. Reviewer potom vie, kam sa pozrieť.

## Ako to bolo overené
- [ ] gate je zelený vrátane red-proof
- [ ] žiadny test nebol oslabený, preskočený ani zmazaný

## Čo písal agent a čo autor skontroloval
<!-- Ktoré časti generoval agent, čo ste prešli riadok po riadku. -->

## Čo nie je hotové

09

Pravidlo pre review

Zmenu schvaľuje človek, ktorý ju nepísal. Pravidlá pre agentov a CI menia len ich vlastníci, inak si agent časom uvoľní vlastné brány.

# .github/CODEOWNERS
*             @vasa-firma/tim
/.claude/     @vasa-firma/vlastnik-pravidiel
/.github/     @vasa-firma/vlastnik-pravidiel
/AGENTS.md    @vasa-firma/vlastnik-pravidiel

10

Chránená vetva

Všetko vyššie platí, len ak sa hlavná vetva nedá obísť. Jedna súhrnná kontrola ci, povinný PR, schválenie od vlastníka kódu a pravidlá aj pre administrátorov.

gh api -X PUT repos/VASA-FIRMA/REPO/branches/main/protection \
  -F 'required_status_checks[strict]=true' -f 'required_status_checks[contexts][]=ci' \
  -F 'required_pull_request_reviews[required_approving_review_count]=1' \
  -F 'required_pull_request_reviews[require_code_owner_reviews]=true' \
  -F enforce_admins=true -F restrictions=null