Agentic SDLC mění pravidla: Co to znamená pro vaši bezpečnost?
Od neznámého k předvídatelnému
Pamatujete si na ty divoké časy, kdy se AI v kódování zdála jako západní film? Každý týden přinášel nové nástroje, nové debaty a nulový konsenzus ohledně best practices. Kdo je v tech dost dlouho, ví, že nejistota vytváří úzkost — a úzkost brzdí pokrok.
Dobrá zpráva: překročili jsme důležitou hranici. Po přibližně 15 měsících intenzivního experimentování od spuštění ChatGPT se odvětví konečně začíná shodovat na tom, kam se AI-driven vývoj ubírá. Neznámé-neznámé se mění v známé-neznámé.
Možná to nezní jako pokrok, ale věřte mi — je. Když víte, co nevíte, můžete plánovat. Můžete stavět systémy. Můžete najímat lidi s konkrétními dovednostmi. Chaos ustupuje struktuře, a to je základ, který potřebujeme, než budeme moci řešit bezpečnost pořádně.
Organizační zemětřesení, o kterém nikdo nemluví
Než se ponoříme do technických změn, pojďme na elefanta v místnosti: AI nutí firmy přehodnotit, jak vůbec strukturovávají engineering týmy.
Span of control. Velikost podů. Formáty stand-upů. Sprint planning cadences. Všechny tyto "svaté pravdy" softwarového inženýrství se dnes zpochybňují, testují a často opouštějí. nejde jen o metriky produktivity — jde o fundamentální sociální změnu.
Nepříjemná pravda? V této transformaci budou vítězové a poražení. Některé role získávají na hodnotě. Jiné se stávají nadbytečnými. A zatímco ekonomové by to nazvali "kreativní destrukcí", lidé, kterých se to týká, to jako kreativitu rozhodně nezažívají.
Pokud vedete tým touto transformací — a upřímně, kdo ne? — jděte v čele s empatií. Technologie se nějak vyřeší. Ta lidská stránka vyžaduje záměrnost.
Co se skutečně mění ve vývojových odděleních
Pojďme konkrétně. Tady je přehled toho, co se děje v reálném světě vývoje:
Rychlost dosáhla jaderné úrovně
Počet pull requestů explodoval. Jsme pryč z éry vibe-coded side projektů — AI coding agenty dnes posílají features do produkce v kritických aplikacích. Ať už používáte lokální nástroje jako Claude Code nebo cloud-deployed agenty, rozdíl v rychlosti oproti tradičnímu vývoji je ohromující.
To vytváří okamžitý tlak na bezpečnostní nástroje. Tradiční skenovací přístupy prostě nebyly navrženy pro tuto rychlost.
Code review jsou rozbitá
Tady je ta bolestivá pravda, kterou nikdo nechce přiznat: code review v současné podobě nestíhá tempo AI-driven vývoje. Uvízli jste mezi dvěma špatnými možnostmi:
- YOLO režim: Shipujte rychle, bezpečnostní dluh řešte později (což devastuje seniorní inženýry během crunchu)
- Revidujte všechno: Trávte drahocenné hodiny revizí AI-generovaného kódu (což devastuje seniorní inženýry taky)
Hlubší vhled? Pull requesty se staly strašným místem pro zahájení bezpečnostní správy. V momentě, kdy kód dorazí k review, je v procesu už příliš pozdě na smysluplnou intervenci.
AI Labs jsou v aréně
AI společnosti, které tento problém s rychlostí vytvořily, teď aktivně navrhují řešení. Přesunuly se od "move fast and break things" k uznávání bezpečnostních obav — a v některých případech i k návrhům oprav.
Je to altruismus? Pravděpodobně ne. Ale na tom nezáleží. Konverzace se posunula a bezpečnostní týmy mají teď místo u stolu při rozhodování o AI nástrojích.
Dokumentace se chová divně
PRD praktiky jsou v pohybu. Některé týmy tvrdí, že AI zcela nahradila tradiční dokumentaci. Jiné tvrdí, že vše je teď zachycené v .md souborech díky AI generaci.
Realita? Nuance. AI-generovaná dokumentace funguje skvěle, když je konzumentem jiný AI agent — potřebuje "instructions to inform." Ale když se lidé potřebují rozhodnout, "writing to persuade" stále vyžaduje lidský input. AI generuje přesvědčivě znějící, ale často prázdné rozhodovací dokumenty.
Pokud je váš PRD určený k tomu, aby agentům řekl, co stavět, AI ho možná nahradí úplně. Pokud je váš PRD určený k tomu, aby lidem pomohl rozhodnout se, co stavět, je důležitější než kdy dřív.
Co to znamená pro vaši bezpečnostní strategii
Implikace jsou významné a dopadají na různé role různě:
Pro bezpečnostní týmy
Vaše nástroje musí zvládat rychlost. Pokud vaše bezpečnostní brány přidávají friction do AI-akcelerovaného vývoje, obejdou je. Budoucnost patří bezpečnostním nástrojům, které se bezproblémově integrují do agent workflows — ne nástrojům, které vyžadují lidské checkpointy na každém kroku.
Pro vývojáře
Musíte rozumět tomu, co váš AI coding assistant ve skutečnosti dělá. Slepá důvěra v AI-generovaný kód je recept na bezpečnostní katastrofy. Na druhou stranu, čistá skepse defeats účel. Najděte rovnováhu.
Pro startupy a founders
Vaše bezpečnostní postoj se musí vyvíjet rychleji než kdy dřív. Attack surface se mění, ale nástroje k jeho obraně taky. Domain security, DNS ochrana a SSL správa jsou ještě kritičtější, když se zvyšuje rychlost nasazování.
Cesta vpřed
Už nejsme ve fázi "zjišťování, co AI dělá". Otázka je teď praktická: jak bezpečně stavět v tomto novém světě?
Konsenzus, který se rýsuje, není o konkrétních nástrojích nebo vendorech — je o uvědomění, že bezpečnost se musí přesunout upstream v vývojovém procesu. Bezpečnost nemůže žít v code review. Musí žít na úrovni designu, embedded v AI systémech, které generují kód.
U NameOcean jsme o tom přemýšleli přes perspektivu infrastruktury. Když nasazujete AI agenty, kteří můžou modifikovat DNS záznamy, spravovat domény nebo konfigurovat SSL certifikáty, bezpečnostní implikace se násobí. Váš domain registrar už není jen databáze — je to API endpoint, který možná AI agenty volají autonomně.
Toto je nová hranice DevSecOps: zabezpečení pipeline, které AI agenti používají k modifikaci produkční infrastruktury. Je to vzrušující, je to děsivé a je to absolutně směr, kterým se ubíráme.
Fáze chaosu končí. Fáze inženýrství začíná.
Shrnutí: Agentic SDLC nepřichází — je tady. Konsenzus odvětví, který se teď rodí, nám dává stabilitu, kterou potřebujeme k budování správných bezpečnostních rámců kolem něj. Ať už jste solo vývojář nebo vedete stohlavý engineering org, čas adaptovat vaši bezpečnostní strategii je právě teď.