Claude Code i Cursor w zespole programistów - jak wdrożyć agentów AI bez utraty jakości kodu

W lipcu 2025 organizacja badawcza METR opublikowała wynik, który zaskoczył branżę. W randomizowanym badaniu doświadczeni programiści open source rozwiązywali prawdziwe zadania we własnych repozytoriach i z narzędziami AI pracowali o 19% wolniej - a mimo to po wszystkim szacowali, że AI przyspieszyło ich o 20%. W lutym 2026 METR opublikował aktualizację: z narzędziami z końca 2025 roku programiści byli już szybsi o około 4-20%, choć badacze zaznaczają, że prawdziwy efekt jest trudny do zmierzenia, bo część osób nie chciała w ogóle pracować bez AI. Agenci kodujący potrafią przyspieszyć zespół, ale nie dzieje się to automatycznie, a odczucia programistów nie są wiarygodną miarą efektu.

W badaniu METR doświadczeni programiści z AI pracowali o 19% wolniej, choć czuli się szybsi o 20%, a DORA pokazuje, że AI zwiększa przepustowość, ale też niestabilność wdrożeń. Jak wdrożyć agentów kodujących w zespole: modele pracy, wskaźniki, AGENTS.md, testy jako bramka, bezpieczeństwo i opór seniorów.

Raport DORA z 2025 roku dodaje drugi ważny wniosek. AI używa już 90% osób w branży, a jego wpływ działa jak wzmacniacz: zespoły z dobrymi praktykami stają się jeszcze lepsze, a zespoły z problemami - tylko szybciej je powielają. Narzędzia AI zwiększają przepustowość dostarczania zmian, ale jednocześnie rośnie niestabilność: więcej wycofań, poprawek awaryjnych i nieplanowanej pracy. W tym wpisie opisuję, jak wdrożyć agentów kodujących, takich jak Claude Code, Cursor czy GitHub Copilot, w zespole, który ma już swój proces wytwarzania oprogramowania: modele pracy, co mierzyć, jakie standardy wprowadzić, jak zadbać o bezpieczeństwo i jak przekonać sceptyków w zespole.

Trzy modele pracy z agentem

Agent kodujący to nie jedno narzędzie, tylko kilka sposobów pracy, które różnią się tym, ile kontroli zostaje przy programiście.

Copilot coding agent jest ogólnie dostępny dla płatnych użytkowników Copilota od września 2025: zadanie przypisuje się jak zwykłe zgłoszenie, a agent pracuje w osobnym środowisku i otwiera roboczy pull request. Im więcej autonomii dostaje agent, tym ważniejsze są dobre opisy zadań, testy i przegląd kodu - bo człowiek widzi wynik dopiero na końcu. Dobrą praktyką jest zaczynanie od pierwszego modelu i przechodzenie do kolejnych dopiero wtedy, gdy zespół ma sprawdzone standardy.

Co mierzyć - a czego nie

Najgorszym wskaźnikiem jest liczba linii kodu czy procent kodu napisanego przez AI. Agent bez trudu wygeneruje dużo kodu, ale nie o to chodzi. Badanie METR pokazało też, że deklaracje programistów potrafią się rozmijać z rzeczywistością o kilkadziesiąt punktów procentowych.

Mierz to samo, co mierzysz bez AI, tylko dokładniej. Dobrym punktem wyjścia są wskaźniki DORA: czas od zmiany do wdrożenia, częstotliwość wdrożeń, odsetek wdrożeń kończących się awarią i czas przywrócenia działania. Do tego warto dodać trzy wskaźniki specyficzne dla pracy z agentami: czas przeglądu kodu, liczbę poprawek do PR-ów przygotowanych przez agenta i defekty wykryte po wdrożeniu. Jeśli przepustowość rośnie, a odsetek awarii i liczba poprawek też rośnie, to zespół nie przyspieszył - tylko przesunął pracę z pisania kodu na naprawianie go. Zmierz stan wyjściowy przed wdrożeniem, inaczej po kwartale nie będziesz miał z czym porównać.

Standardy repozytorium: AGENTS.md i CLAUDE.md

Agent nie zna zasad Twojego projektu, dopóki ich nie zapiszesz. Do tego służą pliki z instrukcjami w repozytorium. AGENTS.md to otwarty standard z sierpnia 2025, który w grudniu 2025 trafił pod opiekę Agentic AI Foundation działającej przy Linux Foundation i według jego twórców jest używany w ponad 60 tysiącach projektów - obsługują go m.in. Codex, Cursor, Copilot i Gemini CLI. Claude Code czyta własny plik CLAUDE.md. Zawartość obu jest podobna:

INSTRUKCJE DLA AGENTÓWUruchamianie:- Instalacja: npm ci | Testy: npm test | Lint: npm run lintZasady:- Każda zmiana musi przejść testy i lint przed commitem.- Nie dodawaj nowych zależności bez uzasadnienia w opisie PR.- Nie zmieniaj plików w /migrations bez wyraźnej prośby.Architektura:- Logika biznesowa w /src/domain, bez zależności od frameworka.

Taki plik działa jak instrukcja wdrożenia nowego członka zespołu, tylko krótsza i bardziej konkretna. Trzymaj go w repozytorium, przeglądaj w PR-ach jak kod i aktualizuj, gdy agent powtarza ten sam błąd. Każdy powtarzający się błąd agenta to sygnał, że w instrukcjach brakuje jednej linijki. Szerzej o tym, jak dobierać informacje, które trafiają do modelu, piszę we wpisie o context engineeringu.

Testy i przegląd kodu jako bramka

W ankiecie Stack Overflow z 2025 roku najczęstszą skargą programistów, wskazaną przez 66% osób, był kod z AI, który jest „prawie dobry, ale nie do końca". To dokładnie ten rodzaj błędu, który przechodzi szybki przegląd i wychodzi dopiero na produkcji. Dlatego przy agentach kodujących testy i przegląd kodu przestają być dobrą praktyką, a stają się warunkiem wejścia.

• Testy jako warunek. Agent ma uruchamiać testy sam, a PR bez zielonego CI nie trafia do przeglądu. O testowaniu aplikacji z AI piszę we wpisie o testach dla aplikacji AI.
• Małe zmiany. Duży PR od agenta jest trudny do rzetelnego przejrzenia. Lepiej dzielić zadania na mniejsze.
• AI jako pierwszy recenzent, człowiek jako ostatni. Automatyczny przegląd kodu wyłapuje oczywiste problemy, ale odpowiedzialność za scalenie zostaje przy człowieku.
• Jasna odpowiedzialność. Osoba, która zleciła zadanie agentowi, odpowiada za kod tak samo, jakby napisała go sama.

Bezpieczeństwo: kod, zależności i sekrety

Bezpieczeństwo to obszar, w którym agenci kodujący wymagają najwięcej uwagi.

Podatności w generowanym kodzie. W raporcie Veracode z 2025 roku kod wygenerowany przez ponad 100 modeli zawierał istotne luki bezpieczeństwa w 45% testów, a większe i nowsze modele nie radziły sobie lepiej od mniejszych. Skanowanie kodu w CI jest więc obowiązkowe, niezależnie od tego, kto kod napisał.

Zmyślone pakiety. Badanie zaprezentowane na konferencji USENIX Security 2025 wykazało, że 19,7% z 2,23 miliona próbek kodu odwoływało się do pakietu, który nie istnieje - przy modelach komercyjnych średnio 5,2%, przy otwartych 21,7%. Atakujący rejestrują takie nazwy i czekają, aż ktoś je zainstaluje. Zasada: agent nie dodaje nowej zależności bez sprawdzenia przez człowieka, czy pakiet istnieje i jest tym, za co się podaje.

Sekrety i uprawnienia. W sierpniu 2025 złośliwe wersje pakietu Nx wykradły według analiz ponad 2300 danych uwierzytelniających z ponad tysiąca komputerów programistów, a do przeszukiwania dysków wykorzystały zainstalowane narzędzia AI uruchamiane z wiersza poleceń. Agent działający na komputerze programisty ma dostęp do wszystkiego, do czego ma dostęp programista. Dlatego warto:

• blokować agentowi odczyt plików z sekretami (.env, klucze) w jego ustawieniach - Claude Code pozwala na to regułami „deny", które mają pierwszeństwo przed regułami zezwalającymi;
• nie dawać agentom dostępu do danych produkcyjnych i kluczy z pełnymi uprawnieniami;
• uruchamiać zadania autonomiczne w izolowanym środowisku, a nie na głównym komputerze;
• w większych zespołach zarządzać ustawieniami centralnie, tak żeby pojedynczy projekt nie mógł poszerzyć uprawnień agenta.

Osobnym ryzykiem są ukryte instrukcje w plikach, które agent czyta - opisałem ten mechanizm we wpisie o prompt injection. Gdy agent łączy się z zewnętrznymi narzędziami przez MCP, każdy serwer to dodatkowe uprawnienia do przemyślenia - więcej we wpisie o MCP. Do tego dochodzą licencje: skaner licencji w CI pomaga wyłapać fragmenty kodu, które mogą pochodzić z projektów o niezgodnej licencji.

Wdrożenie w zespole i opór seniorów

Sceptycyzm doświadczonych programistów nie jest problemem do „przełamania", tylko sygnałem, który warto potraktować poważnie. W ankiecie Stack Overflow z 2025 roku więcej programistów nie ufało dokładności narzędzi AI (46%) niż im ufało (33%), a wysoki poziom zaufania deklarowało zaledwie 3%. Seniorzy najlepiej widzą, gdzie kod „prawie dobry" zrobi szkodę - i to oni powinni współtworzyć zasady pracy z agentami.

Sprawdzony przebieg wdrożenia:

• Pilotaż z ochotnikami, a nie nakaz dla całego zespołu.
• Zadania, w których agent się sprawdza: testy do istniejącego kodu, migracje, refaktoryzacje pokryte testami, dokumentacja, powtarzalne zmiany w wielu plikach.
• Zadania, z którymi trzeba ostrożniej: kluczowa logika biznesowa, bezpieczeństwo, architektura, kod bez testów.
• Wspólne sesje - jedna osoba pracuje z agentem, reszta patrzy i komentuje. To najszybszy sposób na wymianę dobrych praktyk.
• Wspólne instrukcje w repozytorium zamiast prywatnych sztuczek każdego programisty.

Jeśli w firmie pracują też osoby spoza zespołu IT, które chcą budować proste narzędzia z AI, to zupełnie inny scenariusz - opisałem go we wpisie o vibe codingu. Tutaj mowa o zawodowym zespole, który wprowadza agentów do istniejącego procesu. O samym działaniu agentów AI piszę we wpisie o agentach AI.

Plan wdrożenia krok po kroku

1. 1.Zmierz stan wyjściowy: czas od zmiany do wdrożenia, odsetek awarii, czas przeglądu kodu, liczbę poprawek.
2. 2.Wybierz model pracy na start - zwykle asystent w edytorze lub delegacja zadań w terminalu.
3. 3.Dodaj AGENTS.md lub CLAUDE.md z komendami, zasadami i architekturą projektu.
4. 4.Ustaw testy i CI jako bramkę dla każdego PR-a, także tych od agenta.
5. 5.Skonfiguruj uprawnienia: blokada sekretów, brak dostępu do produkcji, izolowane środowisko dla zadań autonomicznych.
6. 6.Wprowadź zasadę nowych zależności: każdą sprawdza człowiek.
7. 7.Uruchom pilotaż z ochotnikami na zadaniach dobrze pasujących do agentów.
8. 8.Porównaj wskaźniki po kwartale ze stanem wyjściowym.
9. 9.Rozszerzaj stopniowo - do agentów w tle przechodź dopiero wtedy, gdy standardy działają.

---

Pomagam zespołom developerskim wdrażać agentów kodujących tak, żeby przyspieszali pracę, a nie generowali długu - od standardów repozytorium i konfiguracji uprawnień, przez testy i przegląd kodu, po pomiar efektów i warsztaty dla zespołu. Robię to w ramach tworzenia aplikacji AI i szkoleń AI, a praktykę pracy z agentami omawiam w kursie AI Engineer. Napisz do mnie - zacznę od przeglądu Waszego procesu i wskaźników, żeby było wiadomo, od czego zacząć i jak zmierzyć efekt.

Warto przeczytać dalej:

• Context engineering - jak zarządzać kontekstem modelu, żeby agent AI nie gubił wątku
• Jak pisać testy dla aplikacji AI? Piramida testów, złoty dataset i CI/CD dla LLM
• Prompt injection i bezpieczeństwo aplikacji LLM - jak chronić chatboty, RAG i agentów AI
• Vibe Coding: kompletny przewodnik po narzędziach AI do kodowania 2026