Vibe coding je bezesporu skvělá věc, má ale svá úskalí, jak vyplývá ze zprávy Veracode 2026 GenAI Code Security Report. O výsledcích zprávy informoval také server SD Times, podle kterého se míra zabezpečení AI generovaného kódu napříč více než stovkou sledovaných modelů dlouhodobě nemění.
Bezpečnost kódu se od loňska prakticky nepohnula
Veracode sleduje výkon jednotlivých jazykových modelů od začátku programu napříč čtyřmi testovacími vlnami. Průměrná úspěšnost v bezpečnostních testech dosahuje padesáti šesti procent, tedy prakticky beze změny oproti loňskému měření.
Modely přitom generují syntakticky funkční, tedy zkompilovatelný kód téměř ve sto procentech případů. Jakmile se ale testuje odolnost vůči bezpečnostním chybám bez explicitního zadání bezpečnostních pravidel, úspěšnost padá na zmíněných šestapadesát procent, respektive chyba se objeví ve čtyřiačtyřiceti procentech generovaných řešení.
Data zpochybňují dvě rozšířené domněnky. Modely vyvinuté speciálně pro programování nejsou bezpečnější než univerzální jazykové modely, specializované modely dosáhly průměrné úspěšnosti jedenapadesát procent oproti dvaapadesáti procentům u obecných modelů. Neplatí ani to, že by větší model znamenal bezpečnější kód, velké modely s více než sto miliardami parametrů skórovaly v průměru třiapadesát procent, střední i malé modely jedenapadesát procent.
Jediným faktorem, který úspěšnost zvyšuje, je takzvané reasoning, tedy schopnost modelu nad odpovědí déle uvažovat, tyto modely dosáhly padesáti šesti procent oproti jedenapadesáti procentům u modelů bez této schopnosti.
Nejlépe si podle SD Times vedl model GPT-5.5 se šedesáti osmi procenty úspěšnosti, šest z jedenácti testovaných modelů se pohybovalo mezi padesáti a třiapadesáti procenty. Nejhůře skončil model Qwen3.7-max od Alibaby s pouhými padesáti procenty, tedy s chybou v každém druhém vygenerovaném řešení.
Java zůstává nejrizikovějším jazykem
Pro firmy s rozsáhlými podnikovými systémy je podstatné zjištění o rozdílech mezi programovacími jazyky. V Javě, na které stojí bankovní a podnikové systémy, dosahuje bezpečnostní úspěšnost pouze třiceti procent, což odpovídá chybovosti přes sedmdesát procent, kterou GoodRequest uvádí ve své tiskové zprávě.
U ostatních testovaných jazyků, včetně Pythonu s úspěšností šedesát tři procent, se chybovost pohybuje mezi třiceti osmi a pětačtyřiceti procenty. Java tak zůstává nejrizikovějším jazykem s výrazným odstupem, je ovšem zároveň jediným jazykem, u kterého report zaznamenává konzistentní meziroční zlepšení.
Účet přijde při prvním náporu uživatelů
Na rychlý prototyp nebo otestování nápadu je umělá inteligence podle digitálního studia GoodRequest výborný nástroj, za hodinu postaví proklikatelnou aplikaci, na jakou by tým programátorů potřeboval týden. Problém nastává ve chvíli, kdy firma takové řešení nasadí do ostrého provozu, tedy jako klientský portál, objednávkový nebo rezervační systém či interní CRM. Software, který vznikl v chatovacím okně, tak najednou pracuje s klientskými daty, fakturami a smlouvami, a spadá tím pádem pod GDPR i pod dohled regulátora.
„Důležité je přesně rozumět logice a celkové architektuře, tedy vnitřní stavbě toho, co vlastně ve firmě budujete a proč. Pokud nejste expert, rychle nad celým systémem ztratíte kontrolu,“ říká Martin Macík, Head of Business v digitálním studiu GoodRequest.
Dokud v systému klikají čtyři lidé z kanceláře, vše běží, jak má. Situace se zlomí ve chvíli, kdy po první marketingové kampani přijde tisíc zákazníků najednou. Kód bez promyšlené architektury se nedá rozšířit, jednotlivé části si posílají tatáž data pořád dokola, servery jedou nadoraz a firmě rostou náklady na provoz.
Chcete dostávat do mailu týdenní přehled článků z Computertrends? Objednejte si náš mailový servis a žádná důležitá informace vám neuteče. Objednat si lze také newsletter To hlavní, páteční souhrn nejdůležitějších článků ze všech našich serverů. Newslettery si můžete objednat na této stránce.
Druhou položkou na účtu jsou tokeny, kdo se k funkčnímu řešení propracovává metodou pokus omyl, platí za každý pokus, přičemž poskytovatelé AI postupně zpoplatňují další kapacity. Firma se tak dostává do bodu, kdy je levnější zaplatit programátora než dále živit neoptimalizované AI řešení.
Hrozba milionových pokut a nákladných auditů
Vedle technických selhání představuje zanedbání bezpečnosti významné právní a finanční riziko. Podle nařízení GDPR hrozí za úniky citlivých dat pokuty až do pěti set milionů korun nebo čtyř procent z celosvětového obratu firmy, podle toho, která částka je vyšší. Nároky na kybernetickou bezpečnost a odolnost systémů navíc výrazně zpřísňuje evropská směrnice NIS2.
Když firma zjistí, že se s amatérským kódem ocitla v problémech, nápravný proces vyžaduje komplexní audit, kódový, architektonický i datový, který zmapuje toky informací i bezpečnostní rizika. Oprava poškozeného systému může firmu vyjít až na sedm a půl milionu korun.
„Jen u jednoho z našich klientů stál samotný audit čtyři sta padesát tisíc korun. Přitom kdyby za námi přišli dříve, oprava či audit by je vyšly výrazně levněji. Až po detailní analýze dokážeme určit, zda se kód dá zachránit refaktorováním, nebo musíme vedení otevřeně říct, že celé řešení je potřeba zahodit a postavit od základu znovu,“ doplňuje Macík.
Banální chyby s vážnými důsledky
O rostoucí hrozbě svědčí i výzkum bezpečnostní firmy Wiz, podle kterého se jedna z pěti organizací využívajících tyto platformy nevědomky vystavuje vážnému riziku. Nejčastější chyby jsou přitom banální, přihlašovací hesla uložená přímo v kódu viditelném pro prohlížeč návštěvníka, přístupové klíče k placené AI službě volně dostupné ve zdrojovém kódu stránky, databázové tabulky s osobními údaji přístupné bez ověření nebo interní nástroje a chatboti nasazení na veřejném internetu bez přihlašování.
Řízené prototypování jako alternativa
Podle GoodRequest není řešením zákaz umělé inteligence, ale propojení rychlého experimentování s odborným dohledem. Jakmile systém začne pracovat s osobními údaji, analytikou či platbami, měl by od začátku nastoupit technický expert. Bezpečnostní minimum vyžaduje, aby se přístupová hesla a tokeny nikdy nezadávaly přímo do kódu, ale výhradně do zabezpečeného úložiště. Skutečná hodnota profesionálního vývoje podle studia nespočívá v samotném generování kódu, ale v záruce bezpečnosti, škálovatelnosti a dlouhodobé provozuschopnosti.
Podobný závěr formuluje ve zprávě Veracode i Chris Wysopal, spoluzakladatel a Chief Security Evangelist společnosti, podle kterého by AI generovaný kód měl procházet stejnou kontrolou jako jakýkoli jiný neprověřený kód, tedy skenováním, opravou chyb a zákazem nasazení bez revize.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU