Audit aplikácie postavenej s AI: čo zakladateľ potreboval počuť

Ako to začalo: zakladateľ chcel vedieť, či jeho produkt postavený s AI vydrží · Trvanie: spolupráca od júla do októbra 2026

Prehľad

Zakladateľ nie je profesionálny vývojár. Produkt si postavil sám, s AI. Produkt fungoval a zákazníci zaň platili.

Chcel vedieť tri veci. Vydrží to? Môže do kódu pustiť druhého vývojára? A nepotopí ho jedna chyba?

Moment: prvá veta verdiktu

Plný audit bol dlhý a správny. Nikto by ho celý nečítal. Prvá veta verdiktu preto znela: „Nič z toho nie je armagedon.“

Väčšina najdôležitejších opráv bola na pár hodín. Zakladateľ potreboval vedieť, kde začať, nie počuť, že všetko je zle.

Čo sme našli

Kód nebol zlý. Bol nekonzistentný. To je typické pre kód od AI.

AI spraví bezpečnostnú kontrolu raz dobre a na ďalšom mieste ju vynechá. Nastavenia, ktoré majú byť povinné, ostanú voliteľné. Prevádzka často stojí na jednom človeku. AI vám napíše kód. Nepovie vám, čo ste zabudli nastaviť.

Ako sme to overili

Bezpečnostná skúška nesmie spôsobiť incident, ktorý hľadá. Diery sme preto dokazovali bez stiahnutia jediného súboru. Často stačí rozdiel v odpovedi servera medzi chráneným a nechráneným miestom.

Žiadne skutočné dáta, žiadne hádanie hesiel, žiadne zápisy. Správa končí zoznamom toho, čo sme nerobili.

Čo zakladateľ dostal

Audit sme rozdelili na tri časti:

• krátky verdikt na pár strán s vecami na jeden večer,
• nálezy s presnými miestami v kóde,
• štandardy, ku ktorým sa môže vracať pri ďalšom vývoji.

Odporúčania sme nepísali ako „toto ťa páli“. Písali sme, čo mu oprava odomkne: druhého vývojára, prvý bezpečnostný dotazník od zákazníka, pokojný víkend.

Čo sme odporučili nerobiť

Audit ponúkal ľahký predaj: veľký prepis a novú architektúru. Napísali sme opak. Dnešné rozdelenie kódu stačí. Prísnejšie pravidlá v kóde prídu postupne, od prihlásenia a oprávnení. Žiadny veľký prepis naraz.

Najdrahšia rada je technicky správna a príde príliš skoro.

Čo sa nepodarilo

Prvé zistenia sme poslali ako zoznam hneď po prvom hovore. Zoznam sám nestačil. Veci, ktoré vidia zákazníci, dostanú prednosť. Veci, ktoré nevidí nikto, kým sa nepokazia, čakajú. Preto má verdikt poradie krokov, nie len zoznam.

Čo sa zmenilo

Zakladateľ vie, čo je pod povrchom jeho produktu. Má poradie krokov, ktoré zvládne sám. Kód aj všetko, čo sme spísali, patrí jemu.

Čo sme dodali