Aplikace napsané s pomocí AI vznikají rychle a na první pohled fungují skvěle. Problém přichází, když se na ně někdo podívá očima útočníka. Na setkání Vibecoding Talks ve čtvrtek 5. listopadu 2026 nebudeme házet procenty z výzkumů ani opakovat známé kauzy. Ukážeme reálné díry, které v našem kódu nechali i ti nejlepší agenti, a jak je hledat opět s pomocí AI.
Kdy a kde
- Čtvrtek 5. 11. 2026, Kino Dlabačov, Bělohorská 24, Praha 6.
- Otevřeno od 16:00, program začíná v 17:00, naše přednáška je na řadě v 18:35.
- Vstupenky za 500 Kč prodává vibecoding.cz.
Tři díry z naší praxe
- Faktura cizí firmy. Volání
/api/invoice/55vrátilo fakturu jiné firmy. Autorizace, CORS, throttling i testy přitom byly v pořádku, jen agentovi nikdo neřekl, že aplikace přešla na více tenantů. - Administrace pro každého. Nepřihlášený návštěvník viděl celou strukturu administrace, protože ochranu řešila až stránka, ne layout. Stejnou příčinu jsme potkali v Blazoru i v Next.js.
- Jméno zákazníka, které Excel spustí. CSV export, ve kterém se ze jména zákazníka stane vzorec. Na běžných checklistech ani v OWASP Top 10 to nenajdete, AI security review to našlo.
Proč díry vznikají
Za většinou děr stojí člověk: agentovi jsme prostě neřekli, co je aplikace zač. Díra funkčnost nerozbije, takže ji test „funguje to“ neodhalí. AI jde nejkratší cestou a nezná váš threat model. Pomůže mapa pro agenta v CLAUDE.md nebo AGENTS.md, kterou aktualizujete při každé změně architektury.
Tři úrovně AI security review
- Víkendový vibekodér: příkaz
/security-reviews kontextem aplikace a ke každému nálezu test, který útok předvede. - Pokročilý: virtuální testovací tým z agentů (analytik, auditor, ověřovatel a inženýr), ideálně od jiného výrobce, než který kód psal.
- Firemní tým: pravidla v repozitáři, AI review každého pull requestu, SAST s AI triáží, pravidelný hloubkový sken a regresní testy. Nálezy triáduje člověk, protože AI je výborný lovec, ale občas špatný soudce.
Po skončení programu budeme k dispozici u stolů v baru kina. Stejný postup učíme v programu AI pro vývojářské týmy.