Kdy to má smysl řešit
- Aplikace jde poprvé na veřejnost nebo do rukou objednateli.
- Většinu kódu napsal AI nástroj (Cursor, Claude Code, Copilot, Lovable, v0) a nikdo ho řádek po řádku nečetl.
- Aplikace pracuje s osobními údaji, platbami nebo firemními daty.
- Objednatel po vás chce doložit, že je aplikace prověřená — a vy nemáte čím.
- Software dodáváte dál a od 11. 9. 2026 se vás týkají ohlašovací povinnosti podle CRA.
Proč zrovna u kódu psaného s AI
AI píše kód, který se tváří hotově. Kompiluje se, testy prochází, demo funguje. Chyby, které dělá, ale nejsou syntaktické — jsou to chybějící kontroly oprávnění, otevřené endpointy a klíče zapsané do repozitáře. Přesně ty věci, na které se při čtení „vypadá to dobře” nepřijde.
Čísla, která to potvrzují, jsou z nezávislých měření:
- 45 % úloh s AI vygenerovaným kódem obsahovalo bezpečnostní zranitelnost — Veracode, 2025
- Repozitáře psané s asistencí AI vykazují až desetkrát více nálezů — Apiiro, 2025
- Podíl AI na novém kódu roste napříč velkými firmami — Google i Microsoft veřejně uvádějí, že jde o čtvrtinu až třetinu, u části startupů je to většina
Nejde o to, že by AI programovala špatně. Jde o to, že píše hodně a rychle, a poměr „co se napsalo” ku „co někdo přečetl” se posunul jinam, než na jaký jsme zvyklí.
Co konkrétně kontrolujeme
| Oblast | Co hledáme |
|---|---|
| Přihlašovací údaje | klíče, hesla a tokeny v repozitáři nebo v historii commitů |
| Oprávnění | kdo se dostane k cizím datům; chybějící kontroly na úrovni řádků a rolí |
| Rozhraní | endpointy dostupné bez přihlášení, administrace bez ochrany |
| Vstupy | SQL injection, XSS, nahrávání souborů bez kontroly |
| Závislosti | knihovny se známými zranitelnostmi, opuštěné balíčky |
| Nastavení provozu | zapnutý debug, chybové hlášky s vnitřnostmi aplikace, CORS |
| Data | co se loguje, kde končí osobní údaje, jak se zálohuje |
Strojový sken je jen první krok. Nálezy pak ručně ověřujeme — nástroj hlásí desítky věcí, z nichž většina v konkrétní aplikaci nevadí, a naopak přehlédne to, co je vidět až v souvislostech.
Co dostanete
- Písemný protokol s nálezy seřazenými podle závažnosti a s konkrétním souborem a řádkem.
- Verdikt, jestli aplikaci pustit, pustit s výhradami, nebo ne.
- Návrh oprav — co opravit hned, co může počkat, co je jen kosmetika.
- Přílohu ke compliance — které části protokolu použít do dokumentace podle CRA a NIS2.
- Půlhodinový hovor nad výsledkem, ať víte, co která věta znamená.
Protokol je podepsaný firmou s IČO a historií od roku 2014. To je rozdíl proti výstupu z nástroje: za nálezy někdo ručí.
Kód zůstává v Česku
Repozitář zpracováváme lokálně na vlastním hardwaru v ČR, ne v cloudu třetí strany. Pro firmy, které nesmějí nebo nechtějí posílat zdrojový kód do zahraničních služeb, je to často jediná průchodná cesta. Když chcete hloubkovou pasáž přes komerční AI, řekneme si to dopředu a proběhne jen s vaším souhlasem.
Cena a termín
| Prověrka aplikace | od 9 900 Kč bez DPH |
| Termín | do 5 pracovních dnů od předání repozitáře |
| Oprava nálezů | od 24 900 Kč bez DPH |
| Průběžný dohled | od 2 900 Kč měsíčně (nový sken po každém vydání) |
Cena vychází z rozsahu — u malé aplikace se vejdeme do spodní hranice, u systému s mnoha rozhraními si řekneme rozsah předem. Nabídku pošleme až po pohledu na repozitář, ne od stolu.
Jak to probíhá
- Ozvete se a řeknete, co je to za aplikaci a v čem je psaná.
- Dáte nám přístup pro čtení (deploy key, nebo git bundle — jak je vám milejší).
- Prověrka — strojový sken, ruční kontrola kritických cest.
- Protokol a hovor do pěti pracovních dnů.
- Chcete-li, opravíme nálezy vlastními silami.
Proč to děláme
Sami vyvíjíme fakturační a provozní systém InvoAIM a při psaní používáme AI denně — stejné nástroje, o kterých je řeč výše. Nemluvíme tedy o cizí praxi z článků, ale o tom, s čím pracujeme každý den.
Zároveň je záchrana dat naše hlavní živnost už přes deset let. Vidíme, jak vypadá firma den poté, co se něco pokazí — a je to podstatně dražší než prověrka předem.