AI-агенты пишут код: что проверить до продакшена

На совете или у инвестора звучит: «Подключаем AI-агентов — код будет писаться в 3 раза быстрее». Через два–три месяца в репозитории — сотни строк «от агента», в проде — тихий баг в оплате или ключ API в истории git, а команда спорит, кто вообще ревьюил этот PR. Обещание рынка сбылось по скорости. Не сбылось по контролю.

AI-агенты пишут код — нормальный ускоритель черновика. В продакшен такой код должен попадать только через те же ворота, что и код человека: тесты, ревью, безопасность, стенд. Ниже — риски в рублях, четыре обязательных ворота и чеклист для CTO до выкладки.

Проблема не в AI-агентах — проблема в выкладке без владельца

Агент хорошо закрывает рутину: бойлерплейт, миграции по шаблону, тесты к уже понятной функции, черновик API. Плохо — когда им «закрывают» задачу целиком: «сделай оплату как у Stripe», «почини прод», «добавь роли» — без зафиксированного scope и без человека, который отвечает за результат.

Типичный провал через 60–90 дней:

• в main попадают PR без понятного описания «что меняется для пользователя»;
• тесты зелёные, но не покрывают платёж / права / интеграцию с 1С;
• в промпт когда-то вставили кусок .env — и он остался в истории;
• лицензия зависимости или сниппета из интернета не проверена.

Это не спор «AI vs разработчик». Это спор «есть ли у вас процесс, как в зрелом CI/CD для production», или скорость генерации просто обогнала дисциплину.

Три риска кода от AI-агентов в рублях

Ориентир для директора: час осмысленного ревью senior (5–10 тыс. ₽) против суток инцидента (от 150 тыс. ₽). AI удешевляет черновик; без ворот он удешевляет и ответственность — до первого аварии.

Четыре ворота до продакшена для кода от AI

Минимум, без которого AI-PR не должен попадать в main. Те же правила — для штата и для подрядчика (зафиксируйте в приложении к договору, см. чеклист IT-контракта для CEO).

1. Scope. В задаче написано: что меняется для пользователя, что не трогаем, критерий «готово». Промпт «сделай красиво» — не scope.
2. Тесты. Автотест на критичный путь (оплата, вход, создание сущности) зелёный на CI. «Агент написал тесты» — недостаточно, если они проверяют мок, а не сценарий.
3. Security-ревью. Скан секретов, зависимости, права доступа. Запрет: прод-секреты и выгрузки ПДн в промпт. Человек подтверждает: нет хардкода ключей, нет «временного» обхода auth.
4. Staging + владелец PR. Прогон на стенде. В PR указан ответственный инженер (не «агент»). Без имени в Assignees — не мержим.

Когда AI-агенты уместны — и когда рано

Уместны, если:

• задача узкая и воспроизводимая (рефакторинг по правилам, CRUD, миграция схемы по ТЗ);
• есть CI, staging и культура ревью до эксперимента с агентами;
• критичные контуры (деньги, ПДн, доступы) помечены и требуют ручного approve;
• метрика пилота: доля AI-PR с регрессом на staging / в проде — и она падает.

Рано или опасно, если:

• «агент сам пушит в main» или мержит без человека;
• нет тестов на оплату / роли / интеграции — а агент как раз их «ускоряет»;
• в промпты тащат куски прода и клиентские данные;
• MVP ещё без базового CI — сначала каркас процесса, как в MVP SaaS за 2 месяца, потом ускорители.

Чеклист: код от AI-агентов до продакшена

1. В задаче есть scope и критерий приёмки — не только чат с моделью.
2. У PR есть человеческий владелец и описание эффекта для бизнеса.
3. CI зелёный: линтер, сборка, тесты критичного сценария.
4. Проверка секретов и зависимостей пройдена; в истории нет .env.
5. Прогон на staging подписан (скрин / чеклист сценария).
6. Изменения прав, платежей, ПДн — отдельный approve senior / security.
7. В договоре с подрядчиком те же ворота, что у штата (не «ускорили агентом — сдали без ревью»).

Главное

AI-агенты пишут код быстрее человека на черновике. В прод это превращается в выгоду только если скорость не обгоняет контроль. Проблема не в модели — в отсутствии владельца PR, тестов и security-ворот. Один час ревью дешевле суток инцидента.

Нужно встроить ворота в CI и договор с командой разработки — поможем спроектировать процесс и усилить ревью: разработка под ключ или senior-аутстафф с дисциплиной code review.