/Blog

Blog

O designu, technologiích a všemu mezi tím.

19. srpna 20267 min čtení

Váš AI helpdesk bot má vektor pro převzetí účtu, který jste do něj sami navrhli

Zneužití resetu hesla přes Meta chatbota v roce 2026 nebyla chyba infrastruktury. Byla to chyba v návrhu interakce, a váš SaaS asistent má nejspíš tu stejnou.

Číst dále

17. srpna 20267 min čtení

Johnny Unar

Context rot není problém velikosti context window

Větší context window nespraví drift agenta. Váš dlouhoběžící agent ztrácí nit kvůli context rot a žádné množství tokenů vás nezachrání.

12. srpna 20267 min čtení

Johnny Unar

Váš sandbox pro testování agentů je útočná plocha

Červencový incident AISI nebyl o nebezpečí frontier modelů. Byl o návrhu izolace, který ve skutečnosti nikdo pořádně nedělá. Tady je checklist, jak to napravit.

10. srpna 20269 min čtení

Johnny Unar

Fronta na review je teď vaše největší brzda v deploymentu

Agenti otevřou za den víc PR, než váš tým vídal za měsíc. Váš review proces z roku 2023 to nezvládá. Je čas ho předělat.

3. srpna 20267 min čtení

Johnny Unar

Únos balíčků debug a chalk byl selhání identity maintainera, ne příběh o Severní Koreji

Amazon spojil zářijový únos npm balíčků debug a chalk z roku 2025 se stejnou severokorejskou skupinou, která stála za kompromitací axiosu. Děsivé na tom není útočník. Je to celý model.

29. července 20268 min čtení

Johnny Unar

24hodinová lhůta z CRA běží od 11. září a odpovědný je váš dependency graph

Článek 14 evropského Cyber Resilience Actu dopadá na váš kód, ne na právní oddělení. Tady je, co ta pravidla o reportování do 24 hodin reálně vyžadují od inženýrů.

27. července 20268 min čtení

Johnny Unar

Vaše LLM gateway je trezor na credentials a breach LiteLLM to dokázal

Útok na dodavatelský řetězec LiteLLM z března 2026 ukázal, proč je váš AI proxy nejcennější cíl v celém stacku a proč ho většina týmů pořád bere jako obyčejnou utility knihovnu.

22. července 20267 min čtení

Johnny Unar

Prompt injection je teď primitiva pro spuštění kódu

Microsoftí CVE-2026-25592 ukázala, jak jeden injectnutý prompt vede k RCE na úrovni hostitele. Váš threat model to pořád bere jako problém obsahu. To je ta chyba.

20. července 20268 min čtení

Johnny Unar

Přestaňte agenty krotit prompty, kroťte je infrastrukturou

Stripe's Minions dodávají 1 300 PR týdně bez zásahu člověka do codebase za bilion dolarů. Trik není chytřejší model, ale to, že sandbox slouží jako systém oprávnění.

15. července 20266 min čtení

Johnny Unar

Postinstall hook v Axiosu byl celý ten útok

Sapphire Sleet vydala axios@1.14.1 s RATem v postinstall hooku. OIDC Trusted Publishing nikoho nezachránil. Tady je ta konfigurační chyba, která to skutečně umožnila.

8. července 20267 min čtení

Johnny Unar

AI vám přepisuje IAM vrstvu a diff nikdo nekontroluje

Praktický návod, jak auditovat příliš široká oprávnění, která vám kód generovaný LLM potichu zabuduje do codebase na každém PR.

1. července 20269 min čtení

Johnny Unar

Server Actions jsou veřejné endpointy, tak s nimi zacházejte

Každá exportovaná Server Action je volatelný HTTP endpoint bez auth, bez rate limitingu, bez validace. Tady je checklist na zabezpečení, který jedeme na každém Next.js projektu.

29. června 20266 min čtení

Johnny Unar

Past homogenizace: proč všechna AI navržená UI vypadají stejně

72 % designérů dnes používá generativní AI a výsledkem je moře zaměnitelných SaaS dashboardů. Tactile brutalism je inženýrská odpověď.

24. června 20268 min čtení

Johnny Unar

AI kód projde CI a stejně rozbije produkci

Vaše CI bylo postavené na deterministický lidský kód. Výstup AI je pravděpodobnostní a citlivý na kontext a vaše validační pipeline nemá nástroje na to, aby odchytila, kde selhává.

22. června 20266 min čtení

Johnny Unar

Platíte AI za to, aby psala bugy, a pak vám naúčtuje jejich opravu

Velocity metriky, které měří napsaný kód místo dodané hodnoty, jsou způsob, jakým engineering leadeři v roce 2026 potichu klamou vlastní boardy.

17. června 20267 min čtení

Johnny Unar

Testy prošly a produkce stejně spadla: mezera v ověřování AI kódu, kterou nikdo nechce pojmenovat

81 % tech lídrů hlásí víc produkčních selhání z AI kódu, a to i přes 92% jistotu před deployem. Problém není v objemu, ale v samotném pipeline.

15. června 20269 min čtení

Johnny Unar

Vercel breach je návod, jak vás OAuth bordel dostane do kolen

Praktický návod na audit, který odhalí tiché OAuth granty, mrtvé tokeny a nezašifrované env proměnné, díky kterým se z jednoho phishnutého notebooku stane plnohodnotný breach.

10. června 20267 min čtení

Johnny Unar

Vaše AI dev nástroje jsou tím útočným povrchem

Útok na Microsoft GitHub z června 2026 cílil na vývojáře, kteří používali Claude Code a Gemini CLI. Vaše AppSec strategie na tohle nikdy nebyla stavěná.

8. června 20268 min čtení

Johnny Unar

Váš rozpočet na AI kódování kupuje iluzi rychlosti

AI nástroje používá 84 % vývojářů, ale produktivita napříč firmou se drží na 10 až 30 %. Tady je místo, kde se ROI skutečně ztrácí, a co s tím.

3. června 20268 min čtení

Johnny Unar

SLSA Provenance Did Not Save TanStack

84 malicious package versions shipped with valid SLSA Build Level 3 attestations. The attacker hijacked the pipeline, not the credentials. Provenance signed the malware.

1. června 20266 min čtení

Johnny Unar

Iluze produktivity podle METR v reálné práci na kódu

METR zjistil, že senioři byli s AI o 19 % pomalejší, ale cítili se o 20 % rychlejší. Těch 39 procentních bodů rozdílu by mělo změnit způsob, jak měříte AI nástroje.

13. května 20269 min čtení

Johnny Unar

Structured Outputs Guarantee Syntax, Not Sanity

GPT-4o's JSON mode gives you valid JSON. It doesn't give you correct data. Here's why that distinction is destroying pipelines.

11. května 202610 min čtení

Johnny Unar

Postgres + pgvector 0.8 Is Probably Enough for Your Embeddings

Before you spin up Pinecone or Qdrant, read this. We benchmarked pgvector 0.8 HNSW against Qdrant 1.13 and the results will bore you in the best way.

4. května 202612 min čtení

Johnny Unar

Tool Calls Are Not Actions: Build an Approval Queue First

The gap between an LLM returning a tool-call and actually running it against live data is where AI features go wrong. Here's the concrete pattern.

29. dubna 20268 min čtení

Johnny Unar

Structured Outputs Guarantee Shape, Not Semantics

JSON mode doesn't mean your LLM output is safe to use. Here's why you need a schema contract layer on top of it.

27. dubna 20269 min čtení

Johnny Unar

Structured Outputs Don't Mean Your LLM Data Is Correct

Schema conformance is trivially easy. Semantic correctness is where LLM pipelines actually fall apart, and most teams never notice until production.

22. dubna 20269 min čtení

Johnny Unar

Stop mocking your database: Postgres 17 makes it unnecessary

Mocking your DB keeps tests green and production broken. Here's how transaction savepoints and schema isolation fix that.

20. dubna 20269 min čtení

Johnny Unar

Your AI Feature Ships Fast and Rots Faster

Shipping a GPT-4o integration takes a weekend. Maintaining it takes a policy. Here's the one-page lifecycle template we actually use.

13. dubna 20269 min čtení

Johnny Unar

Postgres Outbox Beats RabbitMQ for Webhook Ingestion Under 5k RPM

Before you bolt on SQS for webhook reliability, read this. A Postgres outbox table and a Go worker will serve most startups better.

8. dubna 20269 min čtení

Johnny Unar

Postgres RLS Is Your Real Tenant Isolation Layer, Not Django

Manual WHERE clauses in your ORM will eventually leak tenant data. Here's how to wire Postgres 17 RLS into Django 6.x properly.

6. dubna 202612 min čtení

Johnny Unar

Stop warming pools: adaptive CPU-bursting that actually saves money

Warm pools feel like a win until the AWS bill arrives. Here's a concrete pattern with Go worker pools, Redis token buckets, and KEDA that gets you sub-200ms p95 without paying for idle CPUs.

1. dubna 202612 min čtení

Johnny Unar

Edge na delivery, Go na doménu

Praktický recept, jak striktně rozdělit odpovědnosti mezi Next.js 15 a Go 1.22, včetně authu, streaming SSR, feature flags, observability a bez mlžení kolem edge hype.

30. března 202610 min čtení

Johnny Unar

Jeden npm balíček málem ovládl naši Next.js 15 appku

Postinstall hook, remote loader a pár hnusných hodin v CI. Oprava byla nakonec jednoduchá, jakmile jsme si přestali nalhávat, že supply chain risk v JavaScriptu je jen teorie.

26. března 202610 min čtení

Johnny Unar

Přestaňte stránkovat v clientu, nechte to na Next.js 16

Client-side pagination žere paměť, zhoršuje TTFB a dělá z UX loterii. Cursor API a cache route segmentů tenhle bordel spraví bez velkého přepisu.

25. března 202610 min čtení

Johnny Unar

Rozumné monorepo potřebuje tvrdé hranice

Monorepo funguje i v roce 2026, když hranice berete jako součást kódu a jejich vynucování zautomatizujete. Náš setup je schválně nudný, právě proto drží pohromadě.

24. března 202610 min čtení

Johnny Unar

Jak vyměnit encoder, aniž si rozbijete retrieval

Upgrady embedding modelů rozbíjejí search potichu a draze. Tohle je rollout playbook, který používáme, když potřebujeme nasadit nový encoder bez toho, aby retrieval šel do háje.

23. března 202611 min čtení

Johnny Unar

Observabilita na edge je hlavně problém telemetry

Next.js 15 edge functions a služby v Go 1.22 potřebují jinou observabilitu než dlouho běžící servery. Měřte cold starty, sbírejte sampled flamegraphy a u trace dělejte agresivní tail sampling.

22. března 202610 min čtení

Johnny Unar

Ne shipujte agent chainy SMB zákazníkům

Agentic orchestraci nástrojů to sluší v demu, v produkci je z toho rychle průšvih. Místo toho použijte typed function calls, deterministické proxy vrstvy a explicitní fallbacky.

21. března 202610 min čtení

Johnny Unar

Přestaňte dávat business logiku do Next.js Edge

Edge používejte na rychlá rozhodnutí, stavové operace nechte v Go. Tohle rozdělení řeší bugy v korektnosti, retry logice i observabilitě, které se v SaaS systémech pořád vrací.

20. března 202610 min čtení

Johnny Unar

Ve 12 službách GraphQL gateway zařízněte

Federation přidává governance daň, kterou si většina startupů v mid-stage fázi nemůže dovolit. Typed OpenAPI a consumer-driven contracts vrátí rychlost a udělají chyby viditelné.

19. března 20269 min čtení

Johnny Unar

Django Postgres migrace bez downtime chtějí plán po krocích

Bezpečné změny schématu v Django monolitu nevznikají squashem migrací. Vznikají přes rollout po fázích, backfill a nudnou provozní disciplínu.

18. března 202614 min čtení

Johnny Unar

Multi-tenant Postgres 16: berte RLS jako výchozí volbu, dokud se neprokáže opak

Většina SaaS týmů by měla v Postgresu 16 začít se sdílenými tabulkami, tenant_id a Row Level Security. Těžká část není SQL, ale pooling, migrace a provozní disciplína.

17. března 202610 min čtení

Johnny Unar

Přestaňte rvát analytiku přes Django ORM

Reporting nacpaný do řetězených QuerySetů je pomalý, křehký a nečitelný. Těžkou analytiku vraťte do SQL, tam vám Postgres opravdu pomůže.

16. března 20269 min čtení

Johnny Unar

Shipujte prompty jako kód, jinak počítejte s regresí

LLM feature v produkci degradují potichu. Verzujte prompty, testujte je v CI, pouštějte canary proti shadow trafficu a udělejte rollback nudně spolehlivý.

15. března 20269 min čtení

Johnny Unar

Shipujte jeden správný admin workflow

Konfigurační panely chvíli vypadají jako produktový pokrok, než z vaší SMB appky udělají support mašinu. Vyberte jeden silný admin scénář a držte ho.

14. března 202610 min čtení

Johnny Unar

Berte halucinace jako systémové chyby

Halucinace za sebou nechávají stopy. Měřte pravděpodobnosti tokenů, sledujte provenance evidence a než cokoliv pustíte do produkce, zastavte to levnými verifikátory.

13. března 20269 min čtení

Johnny Unar

GPU, API, nebo CPU batching pro AI inference

Většina rozhodnutí kolem AI infra ve startupech vzniká podle pocitu. Lepší je vzít throughput, tail latency, objem tokenů a ops náročnost a podle toho vybrat variantu, která vás bude bolet nejmíň.

12. března 202611 min čtení

Johnny Unar

Účtujte compute, zabijte pricing per request

Účtování per request trestá automatizaci a odměňuje plýtvání. Měřte compute a ekonomika vašeho SaaS se přestane chovat jako bug.

11. března 202611 min čtení

Johnny Unar

Přepisy API jsou selhání governance

Většina přepisů API nevzniká kvůli technologiím, ale protože týmy ignorovaly kontrakty, verzování a rozumnou deprecation politiku. Stačí trochu governance a vyřešíte to bez zpomalení delivery.

10. března 202610 min čtení

Johnny Unar

Embedding drift vám potichu rozbije retrieval

Vector search se zhoršuje pomalu, a pak najednou. Měřte drift dřív, než spadne recall a upgrade modelu odpálí produkci.