Zbudowałeś apkę z AI. Naucz się sprawdzać jej bezpieczeństwo sam, na własnym kodzie.

Otwarty skill, Twoje repo, dwa moduły z zadaniami w tygodniu, Discord i moje nagrane odpowiedzi w każdy piątek. Wychodzisz z własnym raportem, listą rzeczy naprawionych z testami i nawykiem odpalania audytu po każdej większej zmianie.

Zapisz się za 249 zł Zobacz program

11–22 stycznia 2027
2 tygodnie, online, bez spotkań o stałej godzinie
3–4 h tygodniowo
do 30 osób

raport · aplikacja testowa Ledgerlyprzykład

Napraw dziś

Klucz API modelu AI trafia do przeglądarki NEXT_PUBLIC_ANTHROPIC_API_KEY Każdy, kto otworzy stronę, może wydawać z Twojego konta. Przenieś wywołanie na serwer.
Faktura pobierana po samym numerze Zalogowany użytkownik zobaczy faktury innej firmy. Dodaj sprawdzenie, czyja to faktura.

W tym miesiącu

Wysyłka SMS z kodem bez limitu Nie wycieka nic, ale każde wywołanie kosztuje. Limit na numer i adres, potem captcha.

Zignoruj, z powodem

Klucz analityki w kodzie frontu Ten klucz jest publiczny z założenia. Nic z nim nie zrobisz poza wysłaniem zdarzenia.

Tak wygląda wynik po kursie: każde znalezisko ma miejsce w kodzie, skutek i decyzję. Ledgerly to nasza aplikacja ćwiczeniowa z celowo wstawionymi błędami.

Te apki działały. Właśnie dlatego nikt ich nie sprawdził.

Moltbook, luty 2026. Klucz Supabase w kodzie strony i brak zabezpieczeń na poziomie bazy. Dla każdego dostępne były 1,5 mln tokenów API, 35 tys. adresów e-mail i 4 060 prywatnych rozmów.

Założyciel sam pisał, że zbudował serwis bez pisania kodu. Po zgłoszeniu naprawa zajęła kilka godzin. Źródło: Wiz Research, 2.02.2026.
Lovable, maj 2025. Ze 1 645 sprawdzonych apek 170 pozwalało czytać cudze dane: nazwiska, telefony, klucze API i dane płatności.

Przyczyna: brak reguł dostępu w bazie. Zgłoszenie dostało numer CVE-2025-48757, a Lovable odpowiedziało, że za dane odpowiada autor apki. Źródło: Matt Palmer, 29.05.2025.

Nie chodzi o to, że AI pisze zły kod. AI buduje to, o co prosisz, a nikt nie prosi o to, czego nie zna. Ten sprint uczy, o co prosić i jak sprawdzić, czy to dostałeś.

To dla Ciebie, jeśli

budujesz w Claude Code, Cursorze, Lovable, Bolt albo v0 i masz działającą apkę,
ma użytkowników, płatności albo klucze API z limitem na Twojej karcie, albo zaraz wystartuje,
nikt poza Tobą nie czytał tego kodu pod kątem bezpieczeństwa,
chcesz to umieć sam przy każdej następnej apce, a nie dostać jednorazowy raport.

To nie dla Ciebie, jeśli

masz w zespole osobę od bezpieczeństwa i działający proces,
nie masz dostępu do repo albo nie możesz uruchomić agenta na swoim kodzie,
szukasz testu działającej apki z zewnątrz, certyfikatu albo nauki ataków.

Czego nie obiecuję. Nie obiecuję, że po sprincie Twoja apka będzie bezpieczna. Będziesz umiał znaleźć i naprawić to, co w kodzie da się znaleźć z agentem, z dowodem na każdą naprawę i z uczciwą listą tego, czego nie sprawdziłeś. Patrzymy w Twój kod, nie w cudze serwery.

Czego się nauczysz

Każdy moduł to nagranie, tekst i zadanie na Twoim repo. Nie na przykładowej apce, na Twojej.

pon 11.01
Uruchomienie i mapa zaufania
Instalujesz skill w Claude Code albo OpenCode i wiesz, ile zapłacisz za przebieg, zanim go odpalisz. Rysujesz mapę swojej apki: kto wchodzi, przez co, do czego. Wybierasz trzy miejsca, od których zaczynasz, zamiast audytować wszystko.
czw 14.01
Co w raporcie jest prawdziwe
Odróżniasz znalezisko z dowodem od fałszywego alarmu i robisz triage swoich pięciu najważniejszych: napraw dziś, w tym miesiącu, zignoruj z powodem.
pon 18.01
Twój stack i naprawa z dowodem
Poznajesz wzorce ryzyka dla Supabase i Firebase, Next.js i Node, PHP albo Pythona i sprawdzasz dwa z nich w swoim kodzie. Naprawiasz jedną do trzech rzeczy z testem, który pada przed poprawką i przechodzi po niej.
czw 21.01
Audyt w Twoim workflow
Odpalasz audyt tylko na zmianach od ostatniego przebiegu, za ułamek kosztu, i decydujesz, czy wpiąć go w CI.

Jak to działa

Bez spotkań o stałej godzinie. Materiały są nagrane, pracujesz kiedy chcesz, a pytania zbieram w jednym miejscu.

Poniedziałek i czwartek

Nowy moduł: nagranie 20–40 minut, tekst i karta zadania.

Do następnego modułu

Wrzucasz zadanie do swojego wątku na Discordzie. Tabele i zrzuty, nigdy kod ani sekrety.

Piątek

Nagrane odpowiedzi na pytania z wątków całej grupy.

Discord działa 30 dni od startu: wątek na Twoją apkę i kanał Twojego stacku. Pisemnie odpowiadam tylko na blokady techniczne, jak instalacja albo błąd skilla, w ciągu 2 dni roboczych. Resztę biorę do piątkowych odpowiedzi. To celowe: płacisz 249 zł, nie za konsultacje jeden na jeden.

Pracujesz w Claude Code albo w OpenCode z dowolnym modelem. Tokeny płacisz na swoim planie: pełny przebieg na naszych aplikacjach kosztował od 1,5 do 17 USD, a w sprincie zaczynasz od zawężonego zakresu. Liczysz 3–4 godziny tygodniowo. Grupa liczy do 30 osób, bo więcej wątków nie przeczytam raz w tygodniu.

Narzędzie, na którym pracujesz, jest mierzone

Skill security-audit jest otwarty (licencja MIT). Mierzę go na aplikacjach z celowo wstawionymi błędami i na prawdziwych, opublikowanych podatnościach w cudzym kodzie. Skill nie wie, czego szukać: dostaje tylko polecenie audytu.

Kod	Co było do znalezienia	Wynik	Koszt i czas
aplikacja testowa: Next.js na Supabase i Firebase	10 wstawionych błędów, 12 pułapek	10 z 10, 1 fałszywy alarm	2,26 USD · 7 min
aplikacja testowa: Laravel, Symfony, Drupal	13 wstawionych błędów, 14 pułapek	13 z 13, 1 fałszywy alarm	3,59 USD · 12 min
aplikacja testowa: Django, FastAPI, Flask	18 wstawionych błędów, 18 pułapek	18 z 18, 1 fałszywy alarm	1,89 USD · 6 min
Ledgerly: Next.js, Drizzle, Stripe	26 wstawionych błędów, 16 pułapek	25 z 26, 1 fałszywy alarm	12,80 USD · 22 min
moduł SAML do Drupala, PHP	11 opublikowanych podatności	4–5 z 11 w trzech przebiegach, krytyczna za każdym razem	2,01–2,37 USD
fast-jwt, biblioteka npm	3 opublikowane podatności	3 z 3 (przed poprawką skilla 1 z 3)	2,18 USD · 6 min
goshs, serwer plików w Go	8 opublikowanych podatności	6 z 8, obie krytyczne	16,70 USD · 32 min

Wyniki z października i listopada 2026, Claude Code (Opus 5.5), przy modułach z kilkoma przebiegami podaję zakres. Aplikacje testowe pisaliśmy razem z profilami skilla, więc pokazują, że profil pokrywa te klasy błędów, a nie jak model radzi sobie z nieznanym kodem. Trudniejszy test to opublikowane podatności w cudzym kodzie, a te mogły trafić do danych treningowych modelu, dlatego trafienie traktujemy jako dolną granicę. Na własnym projekcie skill dał 39 zweryfikowanych znalezisk, z których 30 zamknąłem w 26 pull requestach. Wszystkie przebiegi, też w OpenCode i Codex: security-audit.dev/przebiegi.

Kto prowadzi

Bartek Filipiuk. W IT pracuję zawodowo od 2008 roku, przez większość tej drogi w Drupalu i PHP. Z AI programuję od 2023: najpierw kopiowanie kodu z czatu, potem Cursor i Windsurf, dziś agenci jak Claude Code i Codex. Na własnym VPS przez Coolify utrzymuję devince.dev i strony budowane z agentem.

Jestem autorem otwartego skilla security-audit, na którym pracujemy w sprincie. Pokazuję proces, którego używam na co dzień, razem z błędami, które po drodze się zdarzają. Od lat uczę też na YouTube.

Pytania

Buduję w Lovable albo Bolt i nie używam terminala. Dam radę?

Tak, jeśli masz synchronizację z GitHubem. Na starcie klonujesz repo i instalujesz Claude Code albo OpenCode, krok po kroku. To jedyna część, która wymaga odrobiny samozaparcia.

Czy mój kod trafia do Ciebie?

Nie. Audyt odpalasz u siebie. Na Discord wrzucasz tabele i zrzuty raportu, bez kodu i bez sekretów. Kod idzie tylko do dostawcy modelu, którego sam wybierzesz, tak jak przy każdej pracy z agentem.

Ile wydam na tokeny?

Na naszych testach pełny przebieg kosztował od 1,5 do 17 USD, zależnie od wielkości kodu. W kursie zaczynasz od przebiegu zawężonego do najważniejszych miejsc, który kosztuje mniej, i uczysz się audytować tylko zmiany.

Używam Cursora. Zadziała?

Skill działa w Cursorze po kolei w jednej sesji, bez równoległych agentów i bez automatycznej naprawy. Nie mierzyłem tej ścieżki, więc nie obiecuję tych samych wyników co w Claude Code.

A jak skill nic nie znajdzie?

Dostajesz listę tego, co sprawdził i uznał za bezpieczne, z miejscem w kodzie. To też wynik, i uczysz się go ocenić.

Nie zdążę w dwa tygodnie.

Nagrania i teksty zostają na Twoim koncie przez 12 miesięcy. Discord jest otwarty 30 dni od startu kohorty.

Czy dostanę fakturę?

Tak. Po zakupie napisz na bartek@devince.dev z danymi do faktury.

Czy nauczę się włamywać?

Nie. Sprint jest defensywny: znajdujesz i naprawiasz problemy we własnym kodzie, śledząc, skąd wchodzą dane i dokąd idą. Zero exploitów i zero cudzych serwerów.

Zapisz się na kohortę 11–22 stycznia 2027

4 moduły w 2 tygodnie: nagrania, teksty i karty zadań
wątek na Twoją apkę i kanał Twojego stacku na Discordzie, 30 dni
2 nagrane sesje odpowiedzi na pytania grupy
odpowiedź na blokady techniczne w 2 dni robocze
dostęp do nagrań na koncie na courses.devince.dev