Aj na teba vyskakujú videá, v ktorých autor nadšene ukazuje GitHub repo so 100 000+ hviezdičkami a MIT licenciou? „Tento skill ti ušetrí desať hodín týždenne.“ „Tento plugin musíš mať.“ „Komentuj SLOVO a pošlem ti link.“
Na mňa tiež. Toolov, pluginov, skillov a MCP serverov je neúrekom a po čase chytíš poriadne FOMO. Pocit, že všetci ostatní už majú super nastavenie a ty stále niečo zmeškávaš.
Môj postup je jednoduchý: keď niečo také uvidím a zdá sa mi, že by sa hodilo, nič hneď neinštalujem. Pošlem odkaz Claude a nechám ho repo prelustrovať. V tomto návode nájdeš, z akých štyroch uhlov sa naň pozerám, prečo práve tieto a hotový prompt, ktorý si môžeš skopírovať.
Prečo hviezdičky a MIT licencia nestačia
Hviezdičky na GitHube hovoria, že sa repo ľuďom páči. Nehovoria, čo kód robí na tvojom počítači. Dajú sa aj umelo nahnať, takže pri neznámom autorovi sú slabý signál.
MIT licencia znamená, že kód smieš voľne používať a upravovať. Je to právna informácia, nie bezpečnostná. Repo s MIT licenciou môže pokojne spúšťať skripty, ktoré by si nechcel.
A pri AI nástrojoch je v hre viac ako pri bežnej appke. Skill, plugin alebo MCP server dostáva prístup tam, kde pracuje Claude: k tvojim súborom, terminálu, niekedy aj k e-mailu či firemným nástrojom. Preto sa oplatí pár minút kontroly predtým, nie potom.
Štyri uhly, z ktorých sa na repo pozerám
1. Bezpečnosť
Prvá otázka nie je „čo to vie“, ale „čo to robí“. Claude má prejsť:
- čo kód spúšťa: shell príkazy, inštalačné skripty,
curl | bash, hooks, - aké prístupy a kľúče chce (API kľúče, prístup k účtom, súborom),
- kam posiela dáta,
- kto repo udržiava a kedy sa naposledy menilo,
- akú má licenciu.
Dôležité je, aby v tomto kroku nič neinštaloval ani nespúšťal. Iba čítanie. Na konci chcem jasný verdikt: bezpečné, s výhradami, alebo nie. Pri výhradách aj konkrétne miesto v kóde, ktoré ho znepokojilo.
2. Čo to reálne robí
Opis v reeli a README je marketing. Od Claude chcem pár viet bez prívlastkov: čo nástroj naozaj robí a či sa neprekrýva s niečím, čo už používam. Prekvapivo často zistím, že rovnakú vec už mám, len inak nazvanú.
3. Ako to využijem ja
Tu je najväčší rozdiel oproti tomu, keď si recenziu prečítaš na internete. Claude pozná (alebo mu povieš) tvoju prácu, takže sa ho môžeš spýtať na konkrétne situácie, kde by ti nástroj pomohol. A ak pre teba zmysel nemá, nech to povie rovno. To je presne tá odpoveď, ktorá zabíja FOMO.
4. Čo s tým
Na konci tri možnosti:
- nainštalovať, a rovno ako,
- vziať len nápad alebo časť, napríklad jeden dobrý prompt zo skillu, ktorý inak nepotrebuješ celý,
- zahodiť.
Rozhodnutie je stále tvoje. Claude má po štyroch krokoch zastaviť a počkať.
Prompt na skopírovanie
Odkaz vlož namiesto [odkaz]. Ak repo nemáš, len screenshot z reelu, pošli screenshot a napíš, nech nástroj najprv nájde.
Chcem preveriť tento nástroj, kým ho nainštalujem: [odkaz]
Zatiaľ nič neinštaluj ani nespúšťaj (žiadne install skripty, npm/pip install,
nepridávaj MCP server, plugin ani skill). Postupuj v tomto poradí:
1. Bezpečnosť. Prejdi kód len na čítanie: čo spúšťa (shell príkazy, curl | bash,
postinstall, hooks), aké tokeny a prístupy chce, kam posiela dáta, aké má
závislosti, kto ho udržiava, kedy sa naposledy menil a akú má licenciu.
Pri skille alebo plugine prečítaj celé SKILL.md, hooks a skripty.
Verdikt: bezpečné / s výhradami / nie, s konkrétnymi súbormi a riadkami.
2. Čo to je. V 3 až 5 vetách, čo to reálne robí a či sa to neprekrýva
s niečím, čo už používam.
3. Ako to môžem využiť. Konkrétne situácie v mojej práci. Keď to pre mňa
zmysel nemá, povedz to rovno.
4. Návrh: nainštalovať (a ako), vziať len nápad alebo časť, alebo zahodiť.
Potom zastav a počkaj na moje rozhodnutie. Inštaluj až po mojom výslovnom OK.
Na konci mi daj jednu vetu verdiktu.Bod 3 je taký dobrý, aký kontext o tebe Claude má. Ak pracuješ v Projekte, máš vyplnené osobné preferencie v nastaveniach alebo v Claude Code súbor CLAUDE.md, Claude už vie, čo robíš, a odporúčanie bude šité na teba. Ak nič z toho ešte nemáš, nastav si to skôr, ako začneš preverovať repá. Oplatí sa to pri každej práci s Claude, nielen tu.
Kde to spustiť: chat alebo Claude Code
Funguje to aj v bežnom chate na claude.ai. Claude si otvorí odkaz, prečíta README a dohľadá, čo o nástroji píšu iní. Na prvé triedenie „stojí to vôbec za pozornosť?“ to stačí.
Najdôkladnejšie je to v Claude Code. Tam si Claude repo naozaj stiahne a prečíta celý kód, nielen to, čo autor napísal do README. Pri nástrojoch, ktoré chceš nainštalovať do Claude Code, je to aj prirodzené miesto, kde kontrolu spraviť.
Čo s tým, keď je odporúčaní priveľa
Keď si zvykneš veci najprv preveriť, rýchlo zistíš, že väčšina z nich ide do kategórie „zaujímavé, ale teraz nie“. A tie treba niekam odložiť, aby si sa k nim vedel vrátiť, keď ich budeš potrebovať.
Ja ich zavarím do zaváraninového pohára a odložím do špajze. Ako to robím, ti poviem nabudúce.
Časté otázky
Je repo s veľa hviezdičkami na GitHube bezpečné?
Nie automaticky. Hviezdičky ukazujú popularitu, nie to, čo kód robí. Pri neznámom autorovi sa oplatí kód pred inštaláciou prejsť, ideálne s Claude podľa promptu vyššie.
Čo znamená MIT licencia?
Že kód smieš voľne používať, upravovať aj šíriť, ak zachováš informáciu o autorovi. O bezpečnosti nehovorí nič. Pozor skôr na repo bez licencie: tam autor formálne nedal povolenie kód použiť.
Môžem Claude veriť, že nájde všetky problémy?
Nie na sto percent. Claude je dobrý prvý filter a nájde väčšinu bežných rizík, ako podozrivé skripty, zbytočne široké prístupy alebo posielanie dát von. Pri nástrojoch, ktoré dostanú prístup k citlivým dátam alebo firemným účtom, sa oplatí opatrnosť navyše.
Funguje to aj pre skilly a pluginy, nielen pre GitHub repá?
Áno. Skill, plugin aj MCP server sú v konečnom dôsledku kód alebo inštrukcie, ktoré Claude spúšťa. Prompt rátá aj s nimi: pri skille si Claude prečíta celý SKILL.md, hooks a skripty.