# Kontrola kódu vytvořeného AI: 7 kroků pro neprogramátory > AI napsala kód, ale nevíte, jak ho číst? Praktický kontrolní seznam se 7 kontrolami a zadáními, která odhalí nefunkční kód a bezpečnostní díry před zveřejněním. Source: https://ailoot.ai/blog/cs/check-ai-generated-code/ Canonical: https://ailoot.ai/blog/cs/check-ai-generated-code/ Language: cs Publisher: Ailoot (https://ailoot.ai/) Translation: guide-147 Revision: sha256-e7f20d56c30a7512257bc1e2903079ed4faa1e857d1eb5c20557179b48bd8804
Hlavní poznatek AI za vás napíše kód během několika minut, ale jeho kontrola je teď vaším úkolem. Níže najdete 7 kontrol, které odhalí nefunkční kód, bezpečnostní díry a výmysly AI, než svůj projekt někomu ukážete. Kód číst nemusíte.
AI vám za večer sestavila web nebo bota. Všechno se otevře, tlačítka fungují a zdá se, že projekt běží. Ukážete ho lidem — a o den později zjistíte, že platební formulář strhává peníze, ale objednávky se nepropíšou. Nebo že databáze s telefonními čísly zákazníků je přístupná celému internetu. I já jsem takhle dřív vydával své první projekty: věci, které vypadaly funkčně, dokázaly skutečné uživatele nemile překvapit. Teď předtím, než něco ukážu lidem, projdu projekt podle stejného kontrolního seznamu. Přitom nepřečtu jediný řádek kódu — kvůli tomu jsem sem nepřišel a vy nejspíš také ne. A není to paranoia. Anthropic analyzoval 400 000 relací Claude Code: během sedmi měsíců klesl podíl práce věnované opravám nefunkčního kódu z 33 % na 19 %. Klesl, ale nezmizel. Každá pátá relace se pořád týká „opravy toho, co AI pokazila“. Samotné psaní kódu už není úzkým hrdlem. Teď záleží na tom, jak dobře rozumíte zadání a jak dobře dokážete zkontrolovat výsledek. Další materiály k nastavení nástrojů najdete v [dokumentaci Ailoot](https://ailoot.ai/docs/).
[Návody Ailoot](https://ailoot.ai/docs/)
## Proč kontrolovat kód vytvořený AI, když už funguje?
Hlavní poznatek „Funguje“ a „funguje správně“ jsou dvě různé věci. AI se snaží zařídit, aby se kód spustil a vypadal hotově, ne aby byl bezpečný, levný a dělal přesně to, co jste chtěli. Kontrola vás chrání před překvapením, které se objeví až u skutečných uživatelů.
AI napíše kód, který na první pohled obstojí. Spustí se, obrazovka se vykreslí a ukázka vypadá přesvědčivě. Spuštění vám ale nic neřekne o tom, zda se správně počítají peníze, zda je vaše databáze přístupná zvenčí nebo zda všechno nespadne, až dorazí stý uživatel. Potvrzují to i čísla. Srovnávací test [FrontierCode](https://ailoot.ai/blog/cs/frontiercode-benchmark-mergeable-ai-code/) v červnu 2026 ověřoval, nakolik je kód vytvořený AI připravený na skutečnou práci bez úprav. I u nejlepších modelů a nejtěžších úkolů činil tento podíl přibližně 13 %. Jinými slovy, u náročných úkolů se většina kódu vytvořeného AI musí předtím, než se na ni můžete spolehnout, ručně doladit. Dobrá zpráva je, že kontrolu může provést kdokoli. Tohle Anthropic vyvodil z těch stejných 400 000 relací:

O úspěchu rozhoduje, jak dobře člověk rozumí úkolu, který řeší, ne to, zda umí programovat.

— Anthropic, https://www.anthropic.com/research/claude-code-expertise
Vaší výhodou oproti kterémukoli programátorovi, kterého si přizvete, je, že rozumíte svému úkolu. Kontrola je také o porozumění; kód při ní číst nemusíte. Níže uvedené kontroly zvládnete sami a bez zbytečných komplikací. ## Co se může s kódem vytvořeným AI skutečně pokazit?
Hlavní poznatek Existuje pět typů problémů: kód nefunguje; funguje, ale ne tak, jak jste chtěli; má bezpečnostní díry; je drahý nebo pomalý; AI si něco vymyslela. Každá ze sedmi kontrol níže řeší jedno nebo více těchto rizik. Než začnete kontrolovat, je užitečné těchto pět typů znát: budete tak vědět, na co se v každém kroku zaměřit.
Než začnete kontrolovat, pomůže vědět, co hledat. Kód vytvořený AI mívá pět typických problémů a všechny odhalíte bez čtení kódu — stačí sledovat, jak se projekt chová. | Co je špatně | Jak se vám to projeví | |----|----| | Nefunguje | Tlačítko nereaguje, stránka je prázdná, objeví se „error 500“ | | Funguje nesprávně | Platba proběhne, ale objednávka se nevytvoří; e-mail odejde nesprávné osobě | | Bezpečnostní díra | Tajný klíč je vidět v kódu; databáze je přístupná; formulář lze narušit vstupem | | Drahé nebo pomalé | Načtení webu trvá 10 sekund; na konci měsíce dostanete účet za AI API | | AI si něco vymyslela | Odkazuje na neexistující nástroj; místo skutečných dat použila testovací data | Následuje sedm kontrol, popořadě. První zachytí problémy typu „nefunguje“ a „funguje nesprávně“; prostřední se zaměřují na bezpečnost a výmysly; poslední jsou pojistky před zveřejněním. Nejlepší je projít je postupně: každá počítá s dokončením té předchozí. ## Kontrola 1: Požádejte AI, aby vám svůj kód vysvětlila srozumitelným jazykem
Hlavní poznatek Jako první požádám AI, aby běžnými slovy shrnula, co udělala, a nepoužívala kód. Pokud shrnutí neodpovídá tomu, o co jste žádali, je kód už teď špatně, i když běží. Tím ověříte, zda AI pochopila zadání stejně jako vy.
Zadali jste úkol slovy. AI je převedla do kódu. Mezi těmito dvěma kroky se může ztratit význam: AI vás mohla pochopit jinak, něco za vás domyslet nebo práci odbyla. Nesoulad odhalíte i bez čtení kódu — stačí ji požádat, aby popsala, co udělala, srozumitelným jazykem.
ZadáníPožádejte AI o vysvětlení toho, co udělala ``` Vysvětli srozumitelným jazykem, bez kódu, přesně, co jsi právě udělal: jaký úkol tento kód řeší co se stane, když uživatel klikne na tlačítko nebo odešle formulář kde jsou data uložená a kdo k nim má přístup co se může pokazit a za jakých okolností Piš, jako bys to vysvětloval někomu, kdo nikdy neprogramoval. Pokud si nejsi jistý, že je některá část správná, řekni to jasně. ```
Přečtěte si odpověď a porovnejte ji s tím, co jste měli na mysli. Pokud se shoduje, pokračujte dál. Pokud AI „mlží“, zamotává se do vlastního vysvětlení nebo popisuje něco jiného, než jste požadovali, znamená to, že úplně nerozumí tomu, co vytvořila. Místo toho, abyste jí věřili, pošlete ji zpět k úpravě a upřesněte zadání. Mimochodem, pokud AI pravidelně dělá něco jiného, než jste chtěli, problém často spočívá ve formulaci zadání, ne v samotném modelu. Zvlášť jsem rozebral [proč Claude nedělá, co jste po něm chtěli](https://ailoot.ai/blog/cs/why-claude-does-the-wrong-thing/). Kontrola výstupu AI je součástí kontextového inženýrství: řídíte, co AI předáte jako vstup, i to, jak vyhodnotíte výsledek jako výstup. Sada nástrojů zahrnuje klon AI, Druhý mozek a Kontextové inženýrství. Potom Claude přestane být „asistentem, který halucinuje“ a stane se nástrojem, kterému můžete svěřit projekt.
[Návody Ailoot](https://ailoot.ai/docs/)
## Kontrola 2: Projděte scénáře tak, jak by je procházel skutečný uživatel
Hlavní poznatek Otevřete projekt a dělejte to, co by dělal uživatel: zaregistrujte se, zaplaťte, odešlete formulář. Potom záměrně vyzkoušejte, co se stane, když věci pokazíte — zadejte nesmysly, klikněte dvakrát, nechte pole prázdná. Polovina problémů se ukáže už tady, bez jediného řádku kódu. Platbu projděte samostatně a pečlivě: vytvořila se objednávka, když byly strženy peníze?
Ukázka AI vždy vede ideální cestou: správné údaje, jedno kliknutí, všechno dobře dopadne. Skutečný uživatel se tak nechová. Dělá chyby, kliká na špatné věci nebo do pole pro telefon zadá emoji. Vaším úkolem je projít projekt stejně jako on. 1. ### Dokončete hlavní scénář od začátku do konce Udělejte to, k čemu projekt slouží: zaregistrujte se, vytvořte objednávku, odešlete žádost. Dojděte až na konec, ne jen do poloviny. 2. ### Platbu zkontrolujte zvlášť a doopravdy Pokud projekt přijímá peníze, proveďte v testovacím režimu platbu na nejnižší možnou částku. Ověřte, že se vytvořila objednávka, změnil se její stav a vám i zákazníkovi přišel e-mail. Platba, která „proběhne“, ale nevytvoří objednávku, je typickým skrytým selháním. 3. ### Záměrně věci rozbijte Nechte pole prázdná. Tam, kde se očekávají čísla, zadejte písmena. Klikněte dvakrát za sebou na „Odeslat“. Nahrajte soubor v nesprávném formátu. Dobrý projekt zdvořile řekne „tohle nemůžete udělat“; špatný spadne nebo data potichu zahodí. 4. ### Otevřete projekt na telefonu Polovina vašich lidí přijde z telefonu. Zkontrolujte, že se rozvržení nerozbilo a fungují tam stejná tlačítka. Všechno, co jste zjistili, předejte AI v jednom seznamu: „Tady je, co se při těchto krocích pokazilo; oprav to a vysvětli, proč k tomu došlo.“ Neřešte jeden problém po druhém — předejte jí celý seznam, aby viděla celý obraz a měla menší šanci rozbít jednu věc při opravě jiné. ## Kontrola 3: Zeptejte se AI na bezpečnost — tady je zadání
Hlavní poznatek Bezpečnost je to, co neprogramátor pouhým okem nevidí, ale co může nejvíc zasáhnout: uniklé klíče, vystavená databáze, formulář, který lidem umožní proniknout dovnitř. Nemusíte je hledat sami — požádejte AI, aby provedla audit a každý nález vysvětlila srozumitelným jazykem. Níže je hotové zadání, které prověří projekt z hlediska pěti nejběžnějších děr.
Nefunkčního tlačítka si všimnete hned. Bezpečnostní díra vidět není: projekt dál funguje, jako by se nic nedělo, dokud toho někdo nevyužije. Nejčastější problémy v projektech vytvořených pomocí vibe codingu jsou tajné klíče zapsané přímo v kódu, databáze vystavená internetu a formuláře, které umožňují odesílat škodlivé vstupy. AI to všechno najde, pokud se jí přímo zeptáte.
ZadáníZkontrolujte můj projekt z hlediska bezpečnostních děr ``` Prověř tento projekt z hlediska bezpečnostních problémů a každý nález vysvětli srozumitelným jazykem, bez odborných výrazů. Projdi tento seznam: Zkontroluj, jestli nejsou některé tajné klíče, hesla nebo tokeny zapsané přímo v kódu. Soukromé tajné údaje se smějí používat jen na serveru a místní konfigurace, například .env, má být vyloučena z Gitu. .env ani .gitignore nebrání zahrnutí frontendových či veřejných proměnných do sestavení prohlížeče. Prohlédni skutečný JavaScript, mapy zdrojů, HTML a síťové odpovědi dodávané klientovi a ověř nepřítomnost soukromých klíčů. Zkontroluj, jestli je databáze přístupná z internetu a kdo k ní má přístup. Zkontroluj, jestli lze vstupem narušit formuláře: například vložením příkazů do databázových dotazů nebo dalšího kódu do textových polí. Co se stane, když uživatel odešle škodlivá data? Zkontroluj, jestli nejsou některé interní stránky nebo administrátorský panel přístupné bez hesla. U každé položky uveď, zda je problém přítomný, přidej jasný příklad rizika a vysvětli, jak ho opravit. Začni nejnebezpečnějším problémem. ```
Ověřte také, že váš projekt slepě neprovádí všechno, co dostane zvenčí. Tomu se říká nepřímá injekce promptu: příkaz je ukrytý v e-mailu, komentáři nebo souboru někoho jiného a váš AI agent ho považuje za úkol a následuje ho. Pokud projekt čte externí data a jedná podle nich, zeptejte se AI, co by se stalo, kdyby tato data obsahovala skrytý pokyn. Je to rozsáhlé téma a jedno zadání ho nemůže pokrýt celé. Pokud projekt zpracovává peníze nebo osobní údaje zákazníků, přečtěte si samostatného průvodce [bezpečností vibe codingu](https://ailoot.ai/blog/cs/vibe-coding-security/). ## Kontrola 4: Nevymyslela si AI knihovny nebo data?
Hlavní poznatek AI někdy odkazuje na neexistující nástroje a místo skutečných dat ponechá testovací. Vypadá to přesvědčivě, ale později se to pokazí. Přímá otázka pro AI a jedno spuštění projektu to odhalí za minutu. Stejná otázka vás také chrání před cizím kódem, který útočníci maskují pomocí vymyšlených názvů knihoven.
AI sebejistě píše o věcech, které neexistují. Může přidat knihovnu s věrohodným názvem, která ve skutečnosti neexistuje. Může v projektu nechat testovací zástupné údaje: produkt s názvem „Příklad“, e-mailovou adresu nebo výplňový text místo skutečného obsahu. Při ukázce si toho snadno nevšimnete, ale pro skutečného uživatele je to trapné nebo nefunkční. Tohle odhalíte ve dvou krocích. Nejprve se přímo zeptejte:
ZadáníPrověř, zda sis něco nevymyslela ``` Projdi projekt a poctivě zkontroluj: Opravdu existují všechny externí nástroje a knihovny, které jsi přidal, a dají se správně nainstalovat? Něco sis vymyslel? Nezůstaly v projektu místo skutečných dat nějaké testovací zástupné údaje, příklady nebo výplňový text? Jsou všechny odkazy, adresy a kontaktní údaje v projektu skutečné, a ne zástupné? Sepiš, co jsi našel, a navrhni, čím to nahradit. ```
Za druhé projekt jednoduše spusťte a prohlédněte si ho. Vymyšlená knihovna téměř vždy při spuštění způsobí chybu. A zástupné údaje snadno poznáte: pokud stránka říká „Produkt 1“, ještě jste je nenahradili. Vymyšlené knihovny představují zvláštní nebezpečí, protože útočníci záměrně registrují nástroje s názvy, které si AI ráda vymýšlí. Když některý nainstalujete, dostane se do vašeho projektu cizí kód. Proto byste otázku „existuje tahle knihovna vůbec?“ měli brát vážně — týká se přímo bezpečnosti vašeho projektu. ## Kontrola 5: Nechte první AI zkontrolovat jiným modelem
Hlavní poznatek AI, která kód napsala, ho špatně kontroluje: má tendenci souhlasit sama se sebou. Dejte projekt zkontrolovat jinému modelu, nebo alespoň nové relaci — nový pohled odhalí, co ten první přehlédl. Je to podobné jako druhý názor, o který byste požádali jiného lékaře před operací.
AI má nepříjemnou vlastnost: souhlasí. Zeptejte se „je tady všechno v pořádku?“ a potvrdí, že je všechno v pořádku, protože se přizpůsobuje očekávané odpovědi. Tomu se říká přitakávání AI a [psal jsem o něm zvlášť](https://ailoot.ai/blog/cs/claude-code-sycophancy-prompts/). Takový partner v rozhovoru bude k vlastní práci shovívavý. Řešení je jednoduché: získejte druhý názor. Otevřete novou relaci nebo použijte jiný model a zadejte mu projekt ke kontrole stejným zadáním z Kontroly 3, jen přidejte: „Tento kód napsala jiná AI; najdi jeho slabá místa.“ Nový model není vázán předchozím rozhovorem a spíš upozorní na problémy. 1. ### Otevřete čistou relaci nebo použijte jiný model Použijte druhý model, nebo stejný model v novém okně bez historie úkolu. 2. ### Dejte mu projekt a správně ho nasměrujte Řekněte jasně: „Tento kód napsala jiná AI; tvým úkolem je najít chyby a rizika, ne ho chválit.“ Tím omezíte přitakávání. 3. ### Porovnejte oba názory Pokud se oba shodují, nejspíš mají pravdu. Pokud se neshodnou, daný bod prověřte — právě tam začínají zajímavé věci. Přesně to se teď děje v celém odvětví: AI píše, AI kontroluje a konečné rozhodnutí zůstává na člověku. Nemůžete ho přenechat modelu — je to váš úkol. ## Kontrola 6: Jak vrátit změny, když se při úpravě něco pokazí?
Hlavní poznatek Před každou úpravou uložte funkční verzi do gitu. Když pak další kontrola něco rozbije, vrátíte se jedním příkazem zpět místo toho, abyste projekt znovu sestavovali. Je to pojistka, která zabere deset sekund. Kód kvůli tomu číst nemusíte — stačí dvě jednoduché žádosti pro AI.
Kontroly z tohoto seznamu často vedou k úpravám a ty někdy rozbijí to, co fungovalo. Abyste z toho neudělali katastrofu, uložte před každým kolem oprav funkční verzi do gitu. Je to jako ukládání hry: když něco rozbijete, načtete poslední uložený bod. Kód kvůli tomu číst nemusíte. Stačí požádat AI: „Před jakoukoli změnou ulož aktuální funkční verzi do gitu a jasně ji označ.“ A když se po úpravách všechno pokazí: „Vrať projekt k dříve uložené verzi.“ Pokud je pro vás git pořád neznámé území, mám pro vás dva průvodce: [jak vrátit změny v Claude Code](https://ailoot.ai/blog/cs/claude-code-undo-changes/) a [co dělat, když AI smazala databázi](https://ailoot.ai/blog/cs/ai-deleted-database-recovery/). Druhý se hodí, když už je na návrat pozdě, ale pořád můžete data obnovit. ## Kontrola 7: Co zkontrolovat naposledy před zveřejněním?
Hlavní poznatek Poslední kontrola před zveřejněním: platby jsou přepnuté z testovacího režimu do ostrého, soukromé tajné údaje zůstávají na serveru mimo soubory dodávané klientovi, data mají zálohu a zveřejnění i doména fungují. Projděte krátký seznam a pak projekt spusťte. Právě tady lidé nejčastěji přicházejí o své první platby: projekt funguje, ale zapomněli na jedno nastavení.
Prvních šest kontrol se týká toho, co kód dělá. Sedmá ověřuje, zda je projekt připraven setkat se s lidmi. Právě tady lidé nejčastěji narazí: projekt funguje, ale zapomněli přepnout platby z testovacího klíče na ostrý, a první zákazníci tak platí „naoko“. 1. ### Platby: z testovacího režimu do ostrého Pokud přijímáte platby, ověřte, že je připojen ostrý klíč platebního systému, ne testovací. Proveďte jednu skutečnou platbu na nejnižší možnou částku a vraťte ji sami sobě. 2. ### Tajné údaje jsou tam, kam patří Zeptejte se AI: „Používají se soukromé klíče jen na serveru a je .env vyloučen z Gitu? Obsahuje skutečné sestavení prohlížeče nebo klientská odpověď soukromý klíč, třeba přes frontendové či veřejné proměnné nebo mapy zdrojů?“ Ověřte sestavené soubory a síťové odpovědi prohlížeče, nejen zdrojový .env. Vyloučení z Gitu neudrží hodnotu mimo frontendový balíček. 3. ### Zálohujte data Ujistěte se, že se databáze automaticky ukládá někam do zálohy. Pokud váš projekt běží na vlastním serveru, vysvětluji, co dělat se zveřejněním v [průvodci Coolify](https://ailoot.ai/blog/cs/coolify-claude-code-deploy/). 4. ### Zveřejněný projekt funguje i mimo vaše zařízení Otevřete projekt v telefonu přes externí odkaz, nejen na vlastním počítači. Něco, co funguje lokálně, nemusí fungovat po zveřejnění. Projďete všechny čtyři body a můžete projekt lidem ukázat s klidnou hlavou. Pokud něco nevyhovuje, je lepší tomu teď věnovat půl hodiny než později řešit nespokojené zákazníky. ## Co když kontrola trvá příliš dlouho — máte AI prostě důvěřovat?
Hlavní poznatek Pokušení je silné: AI je chytrá, tak proč všechno dvakrát kontrolovat? Důvěřovat bez kontroly je ale jako podepsat smlouvu, aniž byste si ji přečetli. Kontrola zabere pár minut, zatímco nefunkční projekt, který zasáhne skutečné lidi, vás stojí pověst i peníze. A je to dovednost, ze které se rychle stane návyk. Za výsledek odpovídáte pořád vy a tuto odpovědnost nemůžete přenechat modelu.
Pokušení chápu. Kontrola působí nudně a „kvůli tomu jsem si AI nepořizoval“. Za výsledek ale odpovídáte vy, ne model. AI nemá pověst a nenese následky: vytvořila kód a zapomněla na něj. Vy budete odpovídat zákazníkovi, kterému neproběhla platba. Tvůrce Claude Code se na věc dívá ještě šířeji: Psaní kódu přestalo být úzkým hrdlem — AI se o něj postarala. Hodnota je teď jinde: v porozumění zadání a kontrole toho, co vzniklo. To je vaše silná stránka — lépe než kterýkoli externí vývojář víte, jaký výsledek váš zákazník potřebuje. ## Proč je kontrola dovednost, ne jednorázový úkol?
Hlavní poznatek Jednou projít kontrolní seznam je užitečné. Skutečný rozdíl se ale projeví, když se kontrola stane součástí vaší práce s AI: správný kontext při zadání, návyk kontrolovat výsledek. Pak AI přestane být ruletou a stane se nástrojem. A každý další projekt, který vytvoříte, půjde rychleji než ten předchozí.
Těchto sedm kontrol představuje minimum, které odlišuje „spustil jsem to a doufám“ od „spustil jsem to a vím, že to funguje“. Projděte je jednou a už před zákazníky zachytíte většinu nepříjemných překvapení. Pak se z toho stane návyk. Dejte AI správný kontext jako vstup a zkontrolujte výsledek jako výstup. Každý nový projekt pak vznikne rychleji, protože nezačínáte od nuly.
### Zdroje - [Anthropic Research - Jak lidé používají Claude Code (400 000 relací, říjen 2025 - duben 2026)](https://www.anthropic.com/research/claude-code-expertise)
Další materiály o práci s nástroji najdete v [dokumentaci Ailoot](https://ailoot.ai/docs/).
[Návody Ailoot](https://ailoot.ai/docs/)
[Přejděte na Ailoot](https://ailoot.ai/)
## Časté otázky ### Stačí k utajení klíče API jeho uložení v .env? Ne. Soukromé klíče se smějí používat jen na serveru. .env a .gitignore pomáhají s hygienou repozitáře, frontendové či veřejné proměnné ale mohou přejít do balíčku prohlížeče. Prohlédněte skutečné soubory a odpovědi doručované klientovi. ### Co dokazuje funkční platbu nad rámec přesvědčivé ukázky? Dokončete zamýšlený uživatelský scénář a po platbě ověřte objednávku, stav, doklad či e-mail a uložený výsledek. Otestujte i prázdný vstup, dvojí odeslání a chyby; úspěšné stržení samo nepotvrzuje správně vytvořenou objednávku. ## Ailoot · Společnost a její portfolio projektů Ailoot staví na dlouhodobých provozních zkušenostech, široké klientské základně, stabilních službách a průběžném sledování KPI. Společnost a její portfolio projektů: miliony zákazníků; měsíční tržby v miliardách. Ailoot využívá tyto provozní zkušenosti k poskytování přístupu přes API k funkcím AI v produktech zákazníků, agentech, aplikacích a automatizacích.