Revue de Deep-init AI : une vraie ingénierie, des promesses plus grandes que le code

DEEP PROJECT REVIEW · SOURCE + TWO LIVE SITES

La plupart des démos d’agents sont des maquettes avec un joli dégradé. Deep-init AI n’en est pas une. L’application en ligne, le site promo et un dépôt TypeScript/TSX de 28 584 lignes relient une passerelle Telegram multi-locataire à un repli entre fournisseurs, des outils exécutés côté serveur, de la mémoire, des rappels, la voix, des serveurs MCP, des tunnels SSH par paire et une console mission-control. Le code compte 36 routes d’API, 59 scripts de maintenance et de test, des secrets de registre chiffrés et une vraie suite de replay. Puis le marketing affirme que l’agent « peut faire tout ce qu’un humain fait sur un ordinateur » et « ne dort jamais ». Le code soutient beaucoup d’actions précises, pas ces promesses universelles.

Comment c’est assemblé

Next.js sert le portail et 36 routes. Auth utilise scrypt, cookies HMAC et tokens tenant. Le registry chiffre secrets et mémoire en AES-GCM ; Blob partage l’état. Telegram alimente providers, tools, logs, mémoire et rappels ; les tunnels SSH pilotent les machines.

Constats de sécurité : de bons réglages par défaut, deux bords à corriger

Les routes tenant exigent généralement une session. Mais `/api/cron` est public sans CRON_SECRET et accepte `x-vercel-cron`. Exigez toujours un secret. Le webhook place le bot token complet dans la query ; utilisez un secret webhook distinct et un lookup serveur.

Chiffrer un jeton de bot au repos ne sert à rien si ce même jeton finit dans une URL de webhook.

Ce que montrent les tests et les contrôles

lint sans erreur et un warning, build réussi, audit à zéro advisory, catalog fresh, snapshot 31/31 dont un cas d’injection. Les scripts ne sont pas réunis dans une CI obligatoire et aucun workflow n’est présent.

Le marketing face à ce qui est vérifié

L’app marche en EN/RU/HE RTL et les fonctions cœur existent. Browser automation et 24/7 dépendent du hosting, du stockage, du cron, du bot et des providers.

Licence et exploitation au quotidien

Le README dit open source, mais il n’y a pas de LICENSE. Code public ne signifie pas licence. Le last-write-wins nécessite des tests de concurrence.

Son allure et son texte

Le portail en ligne est le plus beau travail de la série : papier crème, accents orange de terminal, petites étiquettes monospace et panneau de séquence de démarrage expliquent un produit compliqué sans tomber dans le tableau de bord générique. Le site promo passe au sombre et à l’opérationnel et ajoute un récit produit crédible de 30 secondes. Les captures, la vidéo et l’hébreu RTL sont de vrais atouts. Le point faible, c’est le texte. « Peut tout faire », « ne dort jamais », « auto-apprenant » et « opérateur à plein temps » promettent ce que l’architecture ne garantit pas sur chaque déploiement.

Verdict

Deep-init AI est une console d’agent expérimentale impressionnante : un vrai câblage Telegram, une bonne frontière entre locataires, un état partagé chiffré, un basculement de fournisseurs, une boucle d’outils utile et des preuves de rejeu plus solides que d’habitude. C’est le projet techniquement le plus ambitieux des cinq. Avant de lui confier un rôle d’opérateur toujours actif, il faut verrouiller le cron, sortir les jetons de bot des URL, ajouter une licence, automatiser l’ensemble de tests plus large et ramener les affirmations universelles à ce qui a été mesuré.

Live app · Promotional site · Source

Reviewed source at commit be8604b · live app and promo checked · build, lint, audit, catalog and snapshot replay reproduced 2026-09-21