مراجعة Deep-init AI: هندسة حقيقية وادعاءات أكبر مما تحمله الشيفرة
يجمع Telegram وprovider fallback وencrypted state وmemory وreminders وvoice وMCP وSSH. الاختبارات وauth قوية؛ cron وtoken URLs والترخيص والادعاءات تحتاج إصلاحاً.
DEEP PROJECT REVIEW · SOURCE + TWO LIVE SITES
أغلب عروض الوكلاء مجرد نماذج بتدرّج لوني جميل. أما Deep-init AI فليس كذلك. التطبيق الحي والموقع الترويجي ومستودع TypeScript/TSX من 28584 سطرًا يربطون بوابة Telegram متعددة المستأجرين بمزوّدين احتياطيين وأدوات تُنفَّذ على الخادم وذاكرة وتذكيرات وصوت وخوادم MCP وأنفاق SSH للأزواج ولوحة mission-control. في الشيفرة 36 مسار API و59 سكربت صيانة واختبار وأسرار سجل مشفّرة ومجموعة replay حقيقية. ثم يقول التسويق إن الوكيل «يستطيع فعل أي شيء يفعله إنسان على الحاسوب» و«لا ينام أبدًا». الشيفرة تدعم إجراءات محددة كثيرة، لكنها لا تدعم هذه الادعاءات الشاملة.
ما يعمل
- Tenant sessions وencrypted secrets
- Telegram gateway وmemory وreminders وtools
- Provider fallback وoffline reflex
- نجاح 31 replay checks
ما يحتاج إصلاحاً
- cron مفتوح بلا secret ويثق header عادياً
- bot token داخل webhook query
- لا LICENSE رغم open source
- الادعاءات المطلقة أوسع من القدرة المثبتة
كيف بُني
يخدم Next.js portal و36 routes. يستخدم auth scrypt وHMAC cookies وtenant tokens. يشفر registry secrets وmemory بـAES-GCM ويشارك Blob state. يربط Telegram بـproviders وtools وlogs وmemory وreminders، وتخدم SSH tunnels الأجهزة.
نتائج أمنية: افتراضات قوية وحافتان تحتاجان إصلاحًا
تتطلب tenant routes session عادة. لكن `/api/cron` مفتوح إذا غاب CRON_SECRET ويثق `x-vercel-cron`. يجب secret دائماً. كما يسجل webhook token الكامل في query؛ استخدم webhook secret مستقلاً وlookup على الخادم.
تشفير رمز البوت أثناء التخزين لا يفيد إن انتهى الرمز نفسه في عنوان webhook.
ما تُظهره الاختبارات والفحوص
lint بلا errors وتحذير واحد، build ناجح، audit بلا advisories، catalog fresh، و31/31 snapshot checks مع injection case. لكن scripts ليست CI إلزامية ولا workflow.
| Check | Result |
|---|---|
| ESLint | 0 errors, 1 warning |
| Production build | Pass, 1 tracing warning |
| Dependency audit | 0 advisories |
| Snapshot replay | 31 pass, 0 fail |
التسويق مقابل ما جرى التحقق منه
التطبيق يعمل EN/RU/HE RTL، والميزات الأساسية موجودة. لكن browser automation و24/7 تعتمدان على deployment وhosting وcron وbot وproviders.
الترخيص وإبقاؤه قيد التشغيل
يقول README open source ولا يوجد LICENSE. المصدر العام ليس ترخيصاً. last-write-wins يحتاج concurrency tests.
كيف يبدو وكيف يُقرأ
البوابة الحية أجمل أعمال السلسلة: ورق كريمي ولمسات برتقالية تشبه الطرفية وتسميات صغيرة أحادية العرض ولوحة تسلسل إقلاع تشرح منتجًا معقدًا دون أن تتحول إلى لوحة تحكم نمطية. ينتقل موقع الترويج إلى طابع داكن تشغيلي ويضيف قصة منتج مقنعة مدتها 30 ثانية. اللقطات والفيديو والعبرية بـRTL مواد حقيقية. نقطة الضعف في الصياغة: «يستطيع فعل أي شيء» و«لا ينام أبدًا» و«ذاتي التعلم» و«مشغّل بدوام كامل» وعود لا تضمنها البنية في كل نشر.
الحكم
Deep-init AI وحدة تحكم تجريبية للوكلاء مبهرة: ربط حقيقي بتيليجرام وحدّ جيد بين المستأجرين وحالة مشتركة مشفّرة وتبديل بين المزوّدين وحلقة أدوات مفيدة ودليل إعادة تشغيل أقوى من المعتاد. إنه أطمح المشاريع الخمسة تقنيًا. وقبل الوثوق به كمشغّل يعمل دائمًا، يلزم إحكام قفل cron وإخراج رموز البوتات من العناوين وإضافة ترخيص وأتمتة مجموعة الاختبارات الأوسع وتقليص الادعاءات الشاملة إلى ما قيس فعلًا.
FAQ
ما هو Deep-init AI؟
Personal agent ذاتي الاستضافة مع console وTelegram وfallback وmemory وreminders وvoice وMCP وSSH.
هل يعمل 24/7 حقاً؟
يستقبل خطافات تيليجرام ويرسل التذكيرات عبر cron، لكن زمن التشغيل يتوقف على الاستضافة وتخزين الحالة وإعداد cron والبوت والمزوّدين. «24/7» هدف يسعى إليه، لا خاصية مضمونة.
هل هو open source؟
الشيفرة المصدرية عامة، لكن الإيداع الذي روجع لا يحوي ملف LICENSE. وبدون ترخيص صريح لا يملك الآخرون إذنًا واضحًا باستخدامها أو تعديلها أو إعادة توزيعها.
التطبيق الحي · الموقع الترويجي · المصدر
Reviewed source at commit be8604b · live app and promo checked · build, lint, audit, catalog and snapshot replay reproduced 2026-09-21