Przemysław Zalewski

Ratunek dla apek z AI

Apka zbudowana z AI utknęła przed startem?

Apka prawie działa. Agent naprawia jedno i psuje drugie, wdrożenie pada albo logowanie działa tylko na Twoim laptopie. Dalej biorę to na siebie: 30 minut rozmowy, dostęp do repo, potem 2 do 8 godzin za stałą cenę, aż apka się buduje, wdraża i robi, co miała.

Zobacz cenę i termin →

2 do 8 godzin: 300⁠–⁠1760 zł netto, stała cena przed startem.

Przemysław Zalewski

Brzmi znajomo?

Problemy apek z AI, które naprawiam w 2026

Czy moja apka z AI ujawniła klucze API?

GitGuardian naliczył 28,6 mln nowych sekretów w publicznych commitach na GitHubie w 2025, a commity współtworzone przez Claude Code ujawniały je mniej więcej dwa razy częściej niż średnio (raport State of Secrets Sprawl 2026). Każde wywołanie z wyciekłym kluczem do AI idzie na Twój rachunek, dopóki ktoś go nie wymieni.

Przenoszę klucze z frontendu na serwer, wymieniam te, które wyciekły, i dodaję kontrolę, która zatrzyma kolejny commit z sekretem. Dostajesz listę tego, co było ujawnione. W 2025, bez zlecenia, znalazłem i usunąłem logowanie danych uwierzytelniających i zawartości formularzy, którego nikt wcześniej nie zauważył.

Agent AI usunął bazę produkcyjną. Co teraz?

W kwietniu 2026 agent w Cursorze, działający na Claude, w dziewięć sekund skasował produkcyjną bazę PocketOS razem ze wszystkimi kopiami zapasowymi, co dało 30 godzin przestoju. OECD odnotowało to jako incydent AI. Każdy agent, który dosięgnie danych dostępowych do produkcji, może zrobić to samo.

Odtwarzam dane z najnowszej kopii zapasowej albo z punktu w czasie, potem oddzielam dane deweloperskie od produkcyjnych, zabieram agentowi dostęp do produkcji i trzymam kopie poza jego zasięgiem. Jeśli kopii nie ma, mówię to na rozmowie i najpierw ją ustawiamy. Gdy kiedyś moja zmiana uszkodziła wpisy na produkcji, wycofałem ją i odtworzyłem zepsute wiersze z logu transakcji zamiast przywracać cały backup, bez minuty przestoju.

Czy apkę z vibe codingu można bezpiecznie wypuścić?

Raport Veracode 2026 GenAI Code Security, opublikowany w lipcu 2026, objął ponad 100 modeli: średni odsetek zaliczonych testów bezpieczeństwa utknął na 56%, więc wygenerowany kod oblewa je w około 44% zadań. Modele coraz lepiej piszą kod, który działa, ale nie kod, który jest bezpieczny.

Naprawiając to, co blokuje start, domykam brakujące sprawdzanie uprawnień i nieoczyszczone dane wejściowe na ścieżkach, które ruszam, a każdą poprawkę zabezpieczam testem. Pełny przegląd bezpieczeństwa nie wchodzi w ratunek. W październiku 2023, przed publicznym early access platformy B2B, wyłapałem bibliotekę wykresów z niepasującą licencją, poprowadziłem przejście na zgodną i dołożyłem okno zgody, politykę cookies i prywatności, więc premiera była czysta.

Masz jeden z tych problemów? Umów bezpłatne 30 minut →

Co zwykle jest nie tak

Build pada po aktualizacji

Zmieniła się wersja zależności, agent podbił pół projektu i teraz nic się nie kompiluje.

Na produkcję trafia nie to, co trzeba

Hosting serwuje źródła zamiast zbudowanej apki albo zmienne środowiskowe nie dotarły na produkcję.

Logowanie działa tylko lokalnie

Adresy przekierowań, ciasteczka albo ustawienia dostawcy logowania wciąż wskazują na localhost.

Agent pogorszył sprawę

Każdy prompt naprawia jeden błąd i dodaje dwa. Historia to stos commitów „fix fix fix”.

Dane trafiają nie tam, gdzie trzeba

Formularze nic nie zapisują albo zapisują dwa razy, albo apka czyta z innej tabeli niż pisze.

„Prawie działa” od tygodnia

Jedna funkcja jest gotowa w 90%, a ostatnie 10% ciągle się przesuwa.

Jak to wygląda

  1. 30 minut rozmowy

    Pokazujesz apkę i co ma się dziać. Mówię wprost, czy to kilka godzin, czy większa praca.

  2. Dostęp do repo

    GitHub (najpierw eksport z Lovable albo Bolt), hosting i konto testowe. Nic na Twoich prywatnych loginach.

  3. 2 do 8 godzin pracy

    Stała cena za godziny wybrane w konfiguratorze.

  4. Pull request i nagranie

    Poprawka z prostym opisem, co było nie tak, lista tego, co prawdopodobnie pęknie następne, i 10 minut nagrania, jak to utrzymać.

Czego tu nie robię

  • Nie przepisuję apki od zera.
  • Nie pracuję na Twoim koncie Lovable czy Bolt bez eksportu do GitHuba.
  • Nie obiecuję terminu, zanim zobaczę apkę.
  • Nie robię przeglądów ani audytów bezpieczeństwa. Tu chodzi o odblokowanie apki.

Albo przejmę ją w całości: tydzień przejęcia

Gdy firma stoi na apce, a tylko autor wie, jak ona działa, kilka godzin nie wystarczy. W pięć dni przenoszę ją na firmę, żeby nie zależała od jednej osoby.

  1. Konta na firmę

    Domena, hosting, baza, repozytorium i płatne usługi przeniesione na firmę, z drugą osobą, która może się zalogować.

  2. Wdrożenia z repozytorium

    Jeden sposób wydania zmiany, z repozytorium, który każdy w zespole może powtórzyć.

  3. Instrukcja i odtworzona kopia

    Jak działa, jak wdrażać i cofać, i jedna kopia naprawdę odtworzona, żeby było wiadomo, że działa.

  4. Pierwsza poprawka na produkcji

    Najbardziej uciążliwa rzecz z Twojej listy, naprawiona. Potem opcjonalna stała opieka.

Zobacz cenę i termin przejęcia → Darmowy generator instrukcji

Czemu ja

Codziennie buduję z agentami kodującymi, pod regułami, które dla nich napisałem. W 2026 około dwóch trzecich zmergowanych pull requestów w dwóch produktach powstało z agentami, a prawie wszystkie przeszły przez mój review albo merge. Tylko w 2026: 260+ moich zmergowanych pull requestów i 300+ review cudzych. Od 2009 roku wydałem 25+ aplikacji z 3,7 mln+ pobrań. Wiem, gdzie agent utyka, bo na co dzień go z tego wyciągam.

Agent AI jako członek zespołu, pod wymuszonymi regułami

Problem
Agenci kodujący piszą kod szybciej, niż zespół zdąży go przejrzeć. Czteroosobowy zespół chciał tempa bez bagna na mainie.
Co zrobiłem
Napisałem zestaw reguł wspólny dla Claude Code i Codexa: mechaniczne kontrole zamiast spisanych zasad, bramki lint i testów dla bezpieczeństwa, powierzchni API i CSP, agenci na mainie z hookami, każdy PR przejrzany przez człowieka, treści z AI jawnie oznaczone.
Efekt
W 2026 około dwóch trzecich zmergowanych PR w dwóch produktach powstało z agentami, a prawie wszystkie przeszły przez mój review albo merge. Zmergowałem 260+ własnych PR i zrobiłem review 300+ cudzych. Mój własny wynik w tych dwóch produktach urósł z poniżej 1000 commitów w 2025 do 7500+ do października 2026.

~2/3 PR z agentami 300+ review 7500+ commitów w 2026

Zobacz też: AI i agenci · Full‑stack i custom software

Oferta: AI engineer do Twojego zespołu (Node.js, agenci LLM)

Restart dostarczania po trzech latach trybu utrzymania

Problem
Dojrzały produkt osiadł w utrzymaniu. Backlog był stary, zespół mały.
Co zrobiłem
Rozwój wspierany agentami pod wymuszonym zestawem reguł, pomoc przeniesiona z WordPressa do repo jako markdown z przekierowaniami 301 i i18n, help dopisany do Definition of Done.
Efekt
Z około 60 commitów w 2025 do 4800+ do października 2026, około 80× rok do roku, jeden serwer mniej do zepsucia na urlopie, dokumentacja zgodna z produktem.

~80× commitów r/r docs‑as‑code

Zobacz też: AI i agenci · AI w Twojej firmie

Centrum pomocy przeniesione z WordPressa do repo jako docs-as-code

Problem
Nieutrzymywany help na WordPressie: czerwony w audytach, bez sitemapy, wygasające certyfikaty, pluginy, których nikt nie rozumiał.
Co zrobiłem
Markdown w repo, wersjonowany z produktem, wszystkie języki generowane automatycznie, linkowanie wewnętrzne, 301 dla każdego starego adresu, help dopisany do Definition of Done.
Efekt
Jedna maszyna mniej do zepsucia na urlopie, dokumentacja zgodna z produktem, lepsze SEO i GEO, kontekst, który czytają agenci.

docs‑as‑code 301s i18n

Zobacz też: Cloudflare · Next.js

Oferta: Strona firmowa bez WordPressa, w kilka godzin

Chcesz odblokować apkę w tym tygodniu?

Wybierz godziny w konfiguratorze i umów 30 minut. Dostajesz poprawkę w kodzie (pull request), nie raport.

Zobacz cenę i termin → Sprawdź gotowość do sklepów

Warto wiedzieć

Fakty o Supabase i Lovable, które stoją za większością ratunków

Od 30 października 2026 nowe tabele nie są wystawiane

Od 30 października 2026 nowe tabele w istniejących projektach Supabase nie trafiają automatycznie do Data API, więc tabela świeżo utworzona przez agenta nie działa, dopóki ktoś nie nada dostępu (changelog Supabase).

Tabele z SQL startują bez RLS

Row Level Security jest domyślnie włączone tylko w tabelach z panelu Supabase. Tabele utworzone w SQL, czyli tak, jak tworzą je agenci, trzeba zabezpieczyć ręcznie (dokumentacja Supabase).

Widoki domyślnie omijają RLS

Widoki zwykle działają jako postgres i omijają Row Level Security, jeśli się ich inaczej nie ustawi (RLS w Supabase).

UPDATE wymaga polityki SELECT

Supabase wymaga pasującej polityki SELECT dla UPDATE, więc „zapis nic nie robi” to często brakująca polityka (RLS w Supabase).

Klucz anon jest wycofywany

Supabase wycofuje klucze anon i service_role do końca 2026; aplikacje muszą przejść na nowe klucze (klucze API Supabase).

Lovable zawsze tworzy nowe repo

Synchronizacja Lovable z GitHubem nie podepnie istniejącego repozytorium, a usunięcie repo zatrzymuje synchronizację (dokumentacja Lovable).

FAQ

Pytania

Moja apka z Lovable nie działa. Naprawisz?
Zwykle tak. Najpierw wyeksportuj ją do GitHuba, żebym mógł pracować bezpośrednio na kodzie. Większość poprawek zajmuje kilka godzin.
Claude Code zepsuł mi projekt. Co teraz?
Nie promptuj dalej. Zrób commit tego, co jest, i umów rozmowę. Z historią w gicie zwykle znajduję, gdzie poszło źle, i wracam do działającego stanu.
Ile to kosztuje?
Od 150 do 220 zł netto za godzinę, zależnie od trudności, więc 2 do 8 godzin to 300 do 1760 zł netto. Godziny wybierasz w konfiguratorze i widzisz stałą cenę przed umówieniem. Płatna praca rusza dopiero po Twoim pisemnym „tak”, a płacisz przelewem w 14 dni od faktury.
Czy mój kod jest u Ciebie bezpieczny?
NDA to standard. Pracuję w Twoim repo i na Twoich kontach, z wyłączonym trenowaniem AI, i nie pokazuję niczego z projektu bez pisemnej zgody. Wszystko, co napiszę, należy do Ciebie. Dostęp dostaję tylko przez konta, które kontrolujesz, i odbierasz go jednym kliknięciem, a na koniec oddaję dostępy, kasuję lokalne kopie i potwierdzam to na piśmie.
Dokończysz moją apkę?
Jeśli to, co zostało, mieści się w kilku godzinach, tak. Jeśli to więcej, powiem to na rozmowie i zaproponuję pierwszy wycinek: z MVP do produktu.
Wrzucisz ją do App Store i Google Play?
Tak, to osobna oferta. Darmowy test gotowości do sklepów najpierw pokaże, czego brakuje.
Pomagasz przy małych projektach za darmo?
Jeden mały projekt w miesiącu, kilka godzin, za darmo albo za referencję: publiczną opinię i zgodę na pokazanie projektu jako case study. Umów rozmowę i napisz, co budujesz.
A jeśli 8 godzin nie wystarczy albo dalej nie działa?
Bez rachunku-niespodzianki. Cena ustalona przed startem to sufit, którego nie przekraczam bez pytania. Jeśli widzę, że poprawka się nie zmieści, mówię to przed dojściem do sufitu, pokazuję, co znalazłem, i decydujemy razem: kończymy i zostajesz ze wszystkim, co już zrobione, albo dokładamy godziny. Każda zmiana jest w Twoim repozytorium na GitHubie od pierwszego commita.
Nie znam się na programowaniu. Zrozumiem, co zrobiłeś?
Tak. Pull request to sama poprawka, z prostym opisem, co było nie tak i co prawdopodobnie pęknie następne, plus 10 minut nagrania, jak to utrzymać. Na około 99% zgłoszeń supportu Sandtime.io odpowiadam sam, więc tłumaczenie oprogramowania ludziom, którzy go używają, to moja codzienność.
Moja apka na Supabase nagle nie czyta nowej tabeli. Czemu?
Od 30 października 2026 nowe tabele nie trafiają automatycznie do Data API (changelog Supabase). Tabele z SQL startują też bez RLS, a UPDATE wymaga polityki SELECT (RLS w Supabase).
Czy klucz anon Supabase w mojej apce z Lovable to problem?
Z założenia jest publiczny, ale bezpieczny tylko z RLS na każdej tabeli (dokumentacja Supabase). Supabase wycofuje go do końca 2026, więc zaplanuj przejście na nowe klucze (klucze API Supabase).
Czy moja apka z AI ujawniła klucze API?
GitGuardian naliczył 28,6 mln nowych sekretów w publicznych commitach na GitHubie w 2025, a commity współtworzone przez Claude Code ujawniały je mniej więcej dwa razy częściej niż średnio (raport State of Secrets Sprawl 2026). Każde wywołanie z wyciekłym kluczem do AI idzie na Twój rachunek, dopóki ktoś go nie wymieni. Przenoszę klucze z frontendu na serwer, wymieniam te, które wyciekły, i dodaję kontrolę, która zatrzyma kolejny commit z sekretem. Dostajesz listę tego, co było ujawnione. W 2025, bez zlecenia, znalazłem i usunąłem logowanie danych uwierzytelniających i zawartości formularzy, którego nikt wcześniej nie zauważył.

W 30 minut sprawdzisz, czy do siebie pasujemy

Ty przynosisz problem, ja pytania. Chcesz najpierw liczbę? Konfigurator pokaże godziny, widełki ceny i termin startu.

Umów bezpłatne 30 minut Wolę napisać maila

albo napisz na ciunkos@gmail.com

Po umówieniu dostajesz zaproszenie do kalendarza. Nic więcej do wypełniania.

Moja obietnica

  • Odpowiedź w 24 godziny. Odpowiadam w ciągu 24 godzin w dni robocze. Osobiście, nie bot. Wiadomości z weekendu: do poniedziałku, do 12:00.
  • Spóźnienie znaczy gratis. Jeśli się spóźnię, pierwsza godzina pracy jest za darmo. Nie musisz o to prosić.
  • Zakres na piśmie w 24 godziny. Bezpłatna rozmowa 30 minut bez prezentacji firmy, potem zakres i cena na piśmie w ciągu 24 godzin. Ty decydujesz.
  • Osoba, która wykona pracę. Rozmawiasz z osobą, która wykona pracę. Bez warstwy sprzedaży, bez przekazywania dalej.
  • Odzywam się tylko z czymś nowym. Odzywam się tylko wtedy, gdy mam dla Ciebie coś nowego. Nigdy „czy jest już decyzja?”.
  • Uczciwe „to nie dla mnie”. Jeśli nie jestem właściwą osobą, mówię to na rozmowie i wskazuję kogoś, kto jest.

Rozmowy w tym tygodniu · start od zaraz · Kontrakt B2B · Wrocław, zdalnie

Kod, domena i konta są Twoje od pierwszego dnia. Nic nie trzymam jako zakładnika.