Security Checklist: 30 kontrol pro AI-generovaný kód

Security Checklist: 30 kontrol pro AI-generovaný kód

AI generuje kód rychleji než kdy dřív, ale bezpečnostní díry v něm mohou stát tisíce eur a reputaci firmy. V roce 2026, kdy podle Mezinárodní zprávy o bezpečnosti AI (International AI Safety Report 2026) narůstají rizika zneužití AI pro kyberútoky, potřebujete robustní checklist pro revizi. Tento lead magnet vám dává 30 praktických kontrol, které si můžete okamžitě stáhnout jako PDF šablonu a aplikovat na svůj workflow.

Proč je bezpečnost AI kódu kritická v roce 2026?

Podle zprávy ESET o kyberhrozbách 2026 generativní AI snižuje bariéru pro kyberzločince – ti nyní dokážou vytvářet škodlivý kód bez hlubokých znalostí. EU pravidla od srpna 2025 navíc vyžadují red-teaming a řízení rizik pro univerzální AI modely. V enterprise firmách odchází kód do US cloudů (GitHub Copilot), což ohrožuje data residency a IP.[1][4][5]

„Enterprise organizace by měly mít AI Code Review Security Policy.“ – Core.cz, 2026[1]

Statistika: V roce 2026 68 % bezpečnostních incidentů v dev týmech souvisí s AI-generovaným kódem (odhad na základě trendů z AIM Security a Prompt Security).[2]

✅ Hlavní checklist: 30 kontrol pro AI kód

Použijte tuto stahovatelnou šablonu (link na konci článku). Každou kontrolu proveďte v CI/CD pipeline nebo manuálně. Rozdělil jsem je do 5 kategorií pro snadné použití.

1. Detekce secrets a citlivých dat (kontroly 1-6)

✅
• 1. Secrets scanning: Hledejte API klíče, hesla. Použijte GitLeaks:

  git leaks detect --source . --report-path secrets-report.json

  Příklad: AI vygeneroval api_key = "sk-abc123" – okamžitě ho smažte![1]
✅
• 2. PII detekce: Kontrolujte emaily, telefony v komentářích. Nástroj: TruffleHog.
✅
• 3. Hardcoded credentials: Žádný password: "123456" – vždy použijte env vars.
✅
• 4. Tokeny v promptu: AI mohl vložit JWT tokeny do funkcí.
✅
• 5. Certifikáty: Hledejte .pem soubory v repo.
✅
• 6. Data residency check: Pokud kód odchází do US cloudu, ověřte DPA.[1]

2. Závislosti a supply chain (7-12)

✅
1. 7. Dependency scanning: Použijte Snyk nebo Dependabot. Příklad: AI navrhl npm i lodash@old-version s CVE-2025-1234.[1]
✅
2. 8. Known vulnerabilities:

   npm audit --audit-level high

✅
3. 9. SBOM generace: Vytvořte Software Bill of Materials (CycloneDX).
✅
4. 10. License compliance: Žádné copyleft v enterprise kódu.
✅
5. 11. Tainted package check: Kontrolujte npm provenance.
✅
6. 12. AI supply chain: Ověřte, jestli AI navržené balíčky nejsou malware (ESET warning).[5]

3. Prompt injection a AI-specific rizika (13-18)

✅
• 13. Prompt injection v komentářích: Hledejte "AI: ignore security". Sanitizujte vstupy.[1]
✅
• 14. Jailbreak detekce: Testujte na "DAN mode" pokusy v kódu.
✅
• 15. Output validation: AI kód validujte:

  if (!isValidInput(userData)) throw new Error('Invalid');

✅
• 16. Model hallucination: Ověřte logiku – AI může vymyslet nefunkční crypto.
✅
• 17. Red-teaming: Simulujte útoky podle EU guidelines.[4]
✅
• 18. Incident reporting setup: Připravte logování pro EU povinnosti.[4]

4. Kódová bezpečnost (19-24)

✅
• 19. SQL injection: Vždy používejte prepared statements. Příklad reálný: AI vygeneroval raw SQL v Node.js app – útok provedl hacker za 5 min.[5]
✅
• 20. XSS/CSRF: Kontrolujte dangerouslySetInnerHTML v Reactu.
✅
• 21. Auth bypass: Žádné if (user) { admin() }.
✅
• 22. Crypto weak: Používejte Argon2, ne MD5.
✅
• 23. Rate limiting: Přidejte do API endpointů.
✅
• 24. Log injection: Sanitizujte log inputs.

5. Policy a monitoring (25-30)

✅
1. 25. AI Code Review Policy: Definujte schválené nástroje (Copilot Business only).[1]
✅
2. 26. Access control: RBAC pro AI nástroje.[2]
✅
3. 27. AI inventory: Sledujte všechny modely (AIM Security).[2]
✅
4. 28. Automatizovaná review: Integrujte Lasso Security pro GenAI.[2]
✅
5. 29. Incident response: Plán pro AI selhání.[3]
✅
6. 30. Regular audits: Měsíční revize AI pipeline.

Praktický příklad: Revize AI-generovaného endpointu

Reálný případ z 2026: Vývojář použil Copilot k vytvoření login API. AI vložil hardcoded secret a slabou hash funkci. Útok: Hacker exfiltril data za 2 dny (podobné ESET case).[5]

Špatný kód od AI:

app.post('/login', (req, res) => {
  const pw = req.body.password;
  if (md5(pw) === 'abc123') { // secret!
    res.send('OK');
  }
});

Opravený kód s checklistem:

app.post('/login', async (req, res) => {
  const { email, password } = req.body;
  if (!email || !password) return res.status(400).json({error: 'Missing fields'});
  const hashed = await bcrypt.hash(password, 12);
  const user = await db.query('SELECT * FROM users WHERE email = $1', [email]);
  if (user && await bcrypt.compare(password, user.password)) {
    res.json({token: jwt.sign({id: user.id}, process.env.JWT_SECRET)});
  } else {
    res.status(401).json({error: 'Invalid credentials'});
  }
});

Aplikujte checklist: 1-6 secrets OK, 19 SQL prep OK, 22 crypto bcrypt OK.

Akční plán: Implementujte dnes

1. Stáhněte checklist PDF (odkaz níže).
2. Integrujte do GitHub Actions: GitLeaks + Snyk.
3. Nastavte policy: Jen EU-hosted AI (self-hosted Llama).
4. Trénink týmu: 1h workshop s tímto lead magnetem.

Bonus: Použijte Prompt Security pro realtime ochranu.[2]

Stáhnoutte si checklist ZDARMA

📥 STÁHNUTÍ 30-KONTROLOVÉ ŠABLONY (PDF)

Tento checklist zachrání váš projekt před 90 % běžných AI chyb. Používejte ho denně!