AI tady, vibe coding tam. Naučte se poznat bezpečné aplikace

Pokud existuje odvětví, které éra umělé inteligence přetváří nejvýrazněji, je to vývoj softwaru. Podle průzkumu State of Developer Ecosystem 2025 od JetBrains až 85 % dotazovaných vývojářů pravidelně používá AI nástroje při programování a vývoji a 62 % používá alespoň jednoho AI asistenta, agenta nebo editor s AI.

A dává to perfektní smysl. Správně používané nástroje umělé inteligence dovolují developerům přenechat rutinní část práce AI, uvolnit si ruce pro kreativnější a složitější úkoly a celý proces zrychlit. A pokud zkušení programátoři vygenerovaný kód pečlivě kontrolují, opravují a testují, není nic z toho v zásadě problém.

Co když ale kód generuje někdo, kdo programování vůbec nerozumí? Právě to je totiž nejčastější problém tzv. vibe codingu. Co to je, jaká jsou rizika aplikací programovaných tímto způsobem a jak je odhalit dřív, než aplikaci svěříme svá data?

Co je vibe coding?

Termín „vibe coding“ (kódování náladou/atmosférou/intuicí) vytvořil spoluzakladatel OpenAI Andrej Karpathy pro AI asistované programování, při kterém se programátor „plně oddá intuici i exponenciálnímu tempu a zapomene, že nějaký kód vůbec existuje“.

V praxi to znamená, že programátor popíše zamýšlenou aplikaci velkému jazykovému modelu (LLM) a nechá jej vygenerovat kód, který pak následně upravuje pomocí dalších promptů. Generovat aplikace tak můžou i ti, kteří nemají znalosti ani zkušenosti na to, aby byli schopní v kódu najít a odstranit chyby, nedostatky a bezpečnostní „díry“.

Díky snadné dostupnosti AI nástrojů založených na LLM se totiž může do programování aplikací pomocí vibe codingu pustit skutečně každý.

Nejčastější chyby v aplikacích vytvořených metodou vibe codingu

Nástroje umělé inteligence určené k vibe codingu upřednostňují funkčnost a vzhled uživatelského rozhraní před kvalitou kódu, což vede ke vzniku (nejen) následujících bezpečnostních rizik:

• Pevně zakódovaná tajná data (např. API klíče) zapomenutá v kódu aplikace, odkud je útočníci můžou vytáhnout, dopátrat se backendu (tedy datové vrstvy softwaru nebo serveru) vývojáře a získat uživatelská i jiná data.
• Chybějící validace vstupů a řízení přístupu, což vede k situaci, kdy aplikace přijímá škodlivá data a/nebo umožňuje uživatelům zobrazit a měnit data ostatních uživatelů.
• „Veřejné“ výchozí nastavení, díky kterému uživatelé vidí profily nebo důvěrné informace ostatních uživatelů téže aplikace.
• Slabé nebo žádné šifrování, což umožňuje snazší čtení a zneužívání dat ukradených z aplikace nebo při přenosu do/z ní.
• Chybějící omezení rychlosti, které by hackerům ztížilo provádět útoky hrubou silou (brute-force attack).

Tato rizika bohužel nejsou jen teoretická, jak ukázal například nedávný případ švédské platformy pro vibe coding Lovable. Softwarový inženýr Taimur Khan počátkem roku 2026 upozornil na celkem šestnáct zranitelností (z toho šest kritických), z nichž některé přímo ohrožovaly citlivé informace uživatelů. Ačkoliv společnost Lovable podle vlastních slov tyto zranitelnosti opravila, je možné, že až do incidentu o nich vůbec nevěděla.

Co riskujeme používáním aplikací vygenerovaných vibe codingem?

Používání „děravých“ aplikací, které mají v kódu jeden nebo více problémů popsaných výše, má pro naši kyberbezpečnost praktické důsledky v podobě krádeže dat, finanční ztráty nebo instalace malwaru. Se špatně naprogramovanou aplikací riskujeme:

• nezabezpečené uchovávání hesel, které může vést k narušení bezpečnosti účtu nebo zařízení;
• nezodpovědné nakládání s osobními údaji (např. e-mailová a fyzická adresa, identifikační údaje), které útočníkům usnadňuje krádež identity;
• neomezený přístup k uživatelským datům a AI promptům, které umožňují ostatním uživatelům volně nakládat s našimi osobními informacemi;
• únik platebních údajů, který může vést k podvodům a finančním ztrátám.

Jak poznáme aplikaci vytvořenou pomocí vibe codingu?

Říká se „podle nosa poznáš kosa“, ale aplikace generované vibe codingem nemají žádný nos, podle kterého by je běžný uživatel mohl snadno rozeznat. Ani distribuční platformy či obchody s aplikacemi často nevědí, která aplikace vznikla pomocí vibe codingu, a výše zmiňované bezpečnostní problémy tak neodchytí.

Je tedy na nás, na uživatelích, abychom si pohlídali, koho vpustíme do svého zařízení. Začít můžeme třeba následujícími pěti otázkami:

1. Kdo aplikaci vyvinul? Jde o legitimního vývojáře? Jak dlouho působí na trhu, jaké má hodnocení a reputaci? Pokud najdete negativní recenze, pečlivě si je pročtěte. V případech virálních aplikací se nenechte strhnout marketingem a ověřte si, že mají oficiální a funkční podporu.
2. Co po nás aplikace chce? Zkontrolujte si oprávnění, která aplikace požaduje, a zamyslete se, jestli dávají smysl (např. kalkulačka nepotřebuje přístup k fotoaparátu apod.). Pamatujte, že čím citlivější data sdílíte, tím větší podstupujete riziko.
3. Co říkají zásady ochrany soukromí poskytovatele? Legitimní aplikace by vás vždy měla informovat, která data ukládá a proč, s kým je sdílí, jak dlouho je uchovává atp. Zároveň by měla mít jasně stanovený postup pro mazání dat při odinstalování aplikace.
4. Jak vypadá bezpečnostní model aplikace? Základní úroveň zabezpečení by měla zahrnovat ochranu hesel a citlivých dat, bezpečnostní aktualizace a mít zavedený mechanismus pro nahlašování zranitelností.
5. K čemu má přístup integrovaná AI? Čím víc oprávnění umělá inteligence má, tím větší riziko nám vzniká ve chvíli, kdy je kompromitovaná, např. pomocí výše zmíněné prompt injection.

Co dělat, pokud používáme kompromitovanou aplikaci?

Jedna „děravá“ aplikace v zařízení ještě neznamená, že je vše ztraceno, naopak. Únik dat většinou začíná na serveru poskytovatele, takže musíme začít u kompromitovaného účtu a pokračovat ochranou zařízení.

1. Změňte si heslo a pak požádejte o smazání účtu včetně uživatelských dat. Pamatujte, že „sejde z očí, sejde z mysli“ v podobě pouhé odinstalace aplikace v této situaci nijak nepomůže.
2. Změňte si heslo i všude jinde, kde jste používali stejné, a zapněte si dvoufázové ověření.
3. Pokud jste se registrovali pomocí Google, Apple apod., odejměte oprávnění aplikace u všech propojených účtů.
4. Monitorujte všechny své účty včetně bankovního a v případě, že si všimnete abnormální aktivity, okamžitě reagujte.
5. Aplikaci odinstalujte a spusťte kontrolu bezpečnostním softwarem. Pokud aplikaci odinstalovat nejde, vraťte zařízení do továrního nastavení a hesla k ostatním účtům změňte z jiného, důvěryhodného zařízení.

Shrnutí: bezpečnost našich zařízení je hlavně na nás

Vibe coding funguje tak, že vývojář AI nástroji popíše, co má aplikace umět, a přijme výstup, který nástroj vygeneruje, často bez řádné kontroly kódu. Pokud je autorem aplikace nezkušený programátor nebo úplný laik, kód aplikace obvykle obsahuje začátečnické chyby a bezpečnostní problémy.

Aplikaci programovanou pomocí vibe codingu nelze snadno rozeznat od ostatních. Uživatelé by si tedy měli prověřit reputaci vývojáře, zásady ochrany soukromí a požadovaná oprávnění, než si aplikaci nainstalují. V případě narušení bezpečnosti zabezpečte účet aplikace i další účty, smažte aplikaci a proveďte důkladnou kontrolu komplexním bezpečnostním řešením.

Mohlo by vás zajímat:
🪄 Jak bezpečná je umělá inteligence v roce 2026?
🪄 Dnes ordinuje MUDr. Chatbot. Co si ověřit, než se objednáte?
🪄 Je ChatGPT bezpečný? Jak AI chatbota používat správně