Otázka zní, kdy taková aplikace spadne a kolik bude stát její kompletní přestavba
Shutterstock.com
Firmy si vibecodují aplikace samy. A pak volají vývojářům, ať je zachrání
Generativní AI umožňuje zaměstnancům vytvářet vlastní aplikace během několika hodin. Rychlé prototypy ale často postrádají bezpečnost, dokumentaci či správu přístupů a z experimentu se může stát problém pro celé IT oddělení.
Jiří Štěpán
Aplikaci ve firmě dnes poskládá téměř kdokoliv za jediné odpoledne. Člověk k tomu nepotřebuje souhlas IT oddělení ani zdlouhavé schůzky s vývojáři. Stačí zadat správné prompty, propojit pár volně dostupných nástrojů a vyzkoušet, co z toho vypadne.
Tento přístup funguje skvěle do chvíle, kdy v aplikaci pracuje jediný autor. Jenže problém nastává v momentě, kdy k nástroji sedne druhý kolega, původní tvůrce odejde z firmy nebo do systému poprvé natečou citlivá klientská data.
V tu chvíli firmy překvapeně zjišťují, že jejich nová aplikace nemá audit log, uživatelé si přepisují data a přístupová práva vznikla úplnou náhodou.
Zbrklost na začátku si vybírá svou daň později. Lidé postavili systém příliš překotně a firma za tuto lehkovážnost zaplatí při první opravě. S nástupem evropské regulace AI Act navíc dostanou i vysokou pokutou – v pravém slova smyslu.
Na trhu dnes vidíme stále stejný příběh. Nadšený manažer získá pocit, že tradiční vývoj trvá příliš dlouho. Pomocí AI modelů si proto sám nakóduje interní systém, který schvaluje rozpočty nebo spravuje úkoly.
Aplikace ze začátku dělá přesně to, co od ní autor chtěl; vypadá moderně, je šitá na míru a hlavně šetří čas.
Iluze hladkého provozu se však rozpadne při prvním reálném testu. Z praxe známe případy, kdy aplikace spadne týden před plánovaným auditem, protože nezvládne větší nápor dat. Jindy si dva kolegové v jediném okamžiku navzájem přepíší kritické záznamy, protože kód neumí řešit souběžný přístup více uživatelů.
Nejhorší scénář nastává, když autor aplikace dá výpověď. Ve firmě najednou zůstane nástroj, kterému nikdo jiný nerozumí, protože kódu chybí jakákoliv dokumentace, respektive audit log, a celý proces najednou postrádá veškerou logiku.
Kdybych měl stavění aplikací přes generativní AI k něčemu přirovnat, napadá mě stavba domu z OSB desek. Takový domek postavíte za víkend, nefouká do něj a chvíli drží teplo. Když ale přijde zimní vichřice nebo chcete přistavět druhé patro, celá stavba jde k zemi jako podťatá.
Otázka zní, kdy taková aplikace spadne a kolik bude stát její kompletní přestavba. Že ke zhroucení dříve či později dojde, považuji za jistou věc. Přestavět dům od základů ještě před jeho pádem vychází vždy levněji a rychleji než následně uklízet trosky.
Tři technické pasti a tichá hrozba Shadow AI
Vibecodované aplikace narážejí v praxi na tři zásadní technické limity. Prvním je, že většinou není nijak sladěná s IT infrastrukturou firmy. Tím myslím třeba identity management, monitoring, zálohování a tak podobně.
Většinou běží mimo. A lidé jsou hodně kreativní v tom, jak moc mimo to může být. Některé aplikace běží na cloudových službách typu Replit, jiné na lokálních počítačích. Bez zálohování, často s citlivými daty. Dalším je chybějící sledování verzí kódu a práce s dokumentací. Když se aplikace rozbije, ani agenti ani vývojáři nedokážou zjistit příčinu selhání ani vrátit systém do posledního funkčního stavu.
Třetím problémem bývají přístupová práva, která vznikla bez jakéhokoli plánu a kontroly. Většinou nejsou žádné SSO nebo silné přihlašování. Autor vyřeší základní funkčnost, ale úplně vynechá bezpečnostní architekturu, takže se k citlivým informacím dostane kdokoli se správným odkazem a triviálním heslem. A posledním problémem je rozvoj. Udržovat a rozvíjet aplikaci je náročné. První vytvoření MVP je snadné. Dělat změny po roce je peklo a netechnického vývojáře to doslova vyšťaví. Protože nepoužívá techniky, které tomuto předcházejí a není schopen aplikaci předat k provozu dále.
Tento problém těsně souvisí s širším fenoménem, kterému říkáme Shadow AI, kdy si lidé do práce masově nosí vlastní, neschválené AI nástroje. Podle studie Microsoft Work Trend Index z roku 2024 používalo neschválená AI řešení 78 % zaměstnanců.
Osobně si myslím, že nadšení z toho, co všechno AI sama nakóduje, brzy vystřídá střízlivý pragmatismus.
A jelikož tato data pocházejí z dva roky studie, dnešní podíl bude v praxi ještě vyšší. Zaměstnanci si pouze usnadňují práci a nechce se jim čekat na schválení, čímž ale otevírají obrovské bezpečnostní a regulatorní riziko pro celou firmu.
Pravidla GDPR, dohody o mlčenlivosti i přicházející AI Act dnes přísně nastavují mantinely. Pokud zaměstnanec nahraje klientská data nebo firemní know-how do veřejného AI modelu, firma riskuje vysoké pokuty i ztrátu důvěry trhu. Plošné zákazy přitom selhávají, protože lidé začnou AI používat tajně na osobních telefonech.
U nás v Etneteře jsme proto zvolili jinou cestu. Místo plošných zákazů jsme nastavili jasná pravidla společně s právníky, klasifikovali nástroje podle citlivosti dat a nasadili bezpečnostní dohled. Zaměstnanci přesně vědí, co si mohou dovolit a které nástroje mají zelenou.
Od divokého prototypu k bezpečné platformě
Má tedy vibecoding v byznysu své místo? Určitě má. Generativní AI skvěle pomáhá, když potřebujete rychle ověřit nový nápad. Pokud chce manažer otestovat nový proces, poskládat prototyp za jedno jediné odpoledne skutečně dává smysl. Tady ale pozor: prototyp má zůstat prototypem v dílně. Pro firmu musí být samozřejmostí tohle ctít a nepustit k němu platící zákazníky jako k něčemu, co je prohlášeno za finální produkt.
Pro nás jako pro dodavatele je přitom funkční prototyp vibecodované aplikace výborný výchozí bod. Naši vývojáři sice musí architekturu postavit znovu a poctivě, ale díky prototypu hned vidí reálné potřeby klienta. Místo zdlouhavých specifikací na papíře tak výrazně zkracujeme čas při návrhu nového systému.
Ukazuje se, že firmy potřebují k umělé inteligenci řízený přístup. Po éře živelného vibecodingu proto logicky přichází nová vývojová fáze v podobě takzvané LLM gateway.
Jde o bezpečnou platformu, přes kterou firma centrálně řídí a volá jednotlivé AI modely. Místo toho, aby každý zaměstnanec nebo aplikace komunikovaly s AI po vlastní ose, všechna data procházejí přes jedno hlídané rozhraní. V Etneteře přesně takovou platformu rozvíjíme pro enterprise klienty, kterým tak řešíme bezpečnost, plníme regulatorní požadavky compliance, a navíc šetříme náklady na provoz AI modelů.
Osobně si myslím, že nadšení z toho, co všechno AI sama nakóduje, brzy vystřídá střízlivý pragmatismus. Firmy pochopí, že AI sice výrazně zrychluje psaní kódu, ale kvalitní softwarovou architekturu, bezpečnost a stabilitu za ně nikdo neuřídí. Budoucnost patří těm, kteří propojí rychlost AI nástrojů s poctivým inženýrským základem.
Autor je partner pro business development ve společnosti Etnetera
