Vibe coding: 7 chyb, kvůli kterým amatérské AI aplikace končí průšvihem

Vibe coding — stavění aplikací povídáním si s AI — je nejrychlejší cesta od nápadu k funkčnímu prototypu, jaká kdy existovala. Sám tak stavím interní nástroje a učím to na kurzu. Ale je tu druhá strana, o které tutoriály na YouTube mlčí: aplikace, která funguje, není totéž co aplikace, která je bezpečná a udržitelná. A rozdíl mezi nimi amatér nevidí — přesně proto, že kód nepsal a nerozumí mu.

Nejsem proti vibe codingu. Jsem proti představě, že se dá přeskočit pochopení. Tenhle článek je seznam chyb, které vídám nejčastěji — u klientů, kteří přišli s „hotovou" aplikací, i u účastníků kurzů.

Proč o tom psát právě teď

Protože škody přestaly být hypotetické. V březnu 2026 unikla z vibe-coded aplikace jednoho hodně medializovaného startupu kompletní produkční databáze — 1,5 milionu API tokenů a 35 000 e-mailů. Zakladatel se předtím veřejně chlubil, že „nenapsal jediný řádek kódu". A podle GitGuardian se v roce 2025 dostalo do veřejných GitHub commitů 28,65 milionu nových natvrdo zapsaných tajných klíčů — meziročně o 34 % víc, největší skok v historii. AI asistované commity přitom leakují zhruba dvakrát častěji než lidské.

Jinými slovy: nástroje jsou fantastické, ale průměrný výstup bez dohledu je děravý. Teď ty konkrétní chyby.

Chyba 1: API klíče a hesla přímo v kódu

AI ráda generuje „funkční" příklady s klíčem vloženým rovnou do zdrojáku. Amatér to zkopíruje, nasadí — a klíč je veřejný. Kdo ho najde, čerpá vaše API na váš účet (u placených AI API klidně tisíce korun za noc) nebo rovnou čte vaši databázi.

Jak správně: klíče patří do proměnných prostředí (env), nikdy do kódu ani do repozitáře. A pokud už klíč v kódu byl, nestačí ho smazat — je v historii. Musí se revokovat a vygenerovat nový.

Chyba 2: důvěra klientovi — žádná validace na serveru

Vibe-coded aplikace často kontrolují vstupy jen ve formuláři v prohlížeči. Jenže prohlížeč ovládá útočník, ne vy. Cokoli — ceny, role, ID záznamů — se dá poslat na server ručně a upravené.

Jak správně: každý vstup se validuje znovu na serveru. Cena se nikdy nebere z formuláře, ale z databáze. Role uživatele se ověřuje při každém požadavku.

Chyba 3: databáze otevřená světu

Klasika ze Supabase/Firebase světa: aplikace funguje, protože databáze povoluje čtení a zápis všem. Row Level Security je vypnuté, protože „to házelo chyby". Výsledek: kdokoli s adresou projektu si může stáhnout — nebo přepsat — všechna data.

Jak správně: RLS zapnuté na každé tabulce, pravidla psaná od „nikdo nesmí nic" a povolovaná po jednom. Tohle je přesně věc, kterou AI sama od sebe neudělá — musíte o ni říct.

Chyba 4: žádné verzování — „včera to fungovalo"

Amatér iteruje přepisováním jediné živé verze. Když AI při desáté úpravě něco rozbije (a rozbije), není cesta zpět. Vídám lidi, kteří takhle přišli o dva týdny práce.

Jak správně: git od první minuty, commit po každé funkční změně. Ve vibe codingu je to dvojnásob důležité: AI mění kód rychle a plošně, commit je vaše jediné „undo". Bonus: AI editorům se s gitem líp vysvětluje, co se pokazilo.

Chyba 5: slepé přijímání výstupů a „regeneration loop"

Dvě podoby téže chyby. První: přijmout kód, který vypadá, že funguje, bez čtení — takhle se do aplikace dostávají halucinované závislosti (útočníci registrují balíčky s názvy, které si AI vymýšlí) a bezpečnostní díry. Druhá: když něco nejde, mačkat „zkus to znovu" dokola, dokud výsledek náhodou neprojde — místo pochopení, co je špatně. Po pěti regeneracích je kód guláš, kterému nerozumí ani AI.

Jak správně: malé kroky, po každém přečíst diff (aspoň zhruba pochopit, CO se změnilo), při chybě nejdřív přečíst chybovou hlášku a poslat ji AI s kontextem — ne „nefunguje to, oprav to".

Chyba 6: nasazení bez rozmyslu — prototyp rovnou do produkce

Vibe coding svádí k tomu pustit do světa první verzi, která se hne. Bez rate limitů (účet za API vystřelí), bez záloh databáze, bez oddělení testovacího a ostrého prostředí, s admin rozhraním na veřejné adrese.

Jak správně: před spuštěním checklist — rate limity na endpointech, záloha dat, oddělené prostředí na experimenty, admin schovaný za přihlášením. Hodina práce, která jednou zachrání firmu.

Chyba 7: neschopnost aplikaci opravit, když se rozbije

Tohle je ta drahá chyba. Aplikace běží, firma na ní začne záviset — a pak přestane fungovat platební brána, změní se API třetí strany, vyprší certifikát. Amatér, který aplikaci „naklikal", nemá jak problém diagnostikovat, protože nikdy nepochopil, jak funguje. V lepším případě zaplatí vývojáře, v horším přijde o data i zákazníky.

Jak správně: rozumět aspoň architektuře vlastní aplikace — co kde běží, kudy tečou data, kde jsou logy. To není programování; to je hodina vysvětlování. A přesně tohle by vás měl naučit každý, kdo vibe coding učí.

Znamená to „nedělejte to sami"? Ne.

Opak. Vibe coding je dovednost, kterou doporučuji každé firmě — interní nástroje, kalkulačky, prototypy, automatizace. Věci, na které byste si dřív najímali vývojáře za desítky tisíc, dnes zvládnete za odpoledne. Ale je to dovednost, ne kouzlo: rozdíl mezi člověkem, který ji ovládá, a člověkem, který kliká „regenerate", je přesně v těch sedmi bodech výše.

Proto můj kurz vibe codingu není „podívejte se, co AI umí". Za 3 hodiny postavíme naživo skutečnou aplikaci — a u toho projdeme git, klíče, validaci i nasazení, na reálném kódu, ne na slidech. Odejdete s aplikací A s tím, že víte, co jste postavili. Pro firmy dělám školení na míru. A pokud jste si aplikaci nebo web už postavili a tušíte, že v ní jsou díry — ozvěte se, projdu ji a řeknu vám na rovinu, co je v pořádku a co ne.

Shrnutí

Vibe coding je legitimní a rychlá cesta k vlastní aplikaci, ale AI generovaný kód obsahuje zranitelnosti ve 40–62 % případů a leakuje tajné klíče 2× častěji než lidský. Sedm chyb, které rozhodují: klíče v kódu, chybějící serverová validace, otevřená databáze, žádný git, slepé přijímání výstupů, prototyp v produkci a neschopnost opravit, co jste nepochopili. Všechno se dá naučit za jedno odpoledne — od někoho, kdo aplikace reálně staví a provozuje.

Zdroje a odkazy

• GitGuardian: State of Secrets Sprawl 2026 — 28,65M uniklých klíčů, 2× vyšší leak rate u AI commitů
• Vibe Coding Has A Massive Security Problem — Forbes o incidentu s 1,5M tokenů
• IBM: Vibe Coding Security Risks Aren't Like Ordinary Security Risks
• CSA: Vibe Coding Security Crisis — Credential Sprawl and SDLC Debt
• Vibe coding security: 7 risks and fixes (2026) — souhrn zranitelností 40–62 %