סקירת Deep-init AI: הנדסה אמיתית וטענות גדולות ממה שהקוד נושא
Telegram, provider fallback, encrypted state, memory, reminders, voice, MCP, SSH ו-console. tests ו-auth חזקים; cron, token URLs, license ו-claims דורשים תיקון.
DEEP PROJECT REVIEW · SOURCE + TWO LIVE SITES
רוב הדמואים של סוכנים הם הדמיות עם גרדיאנט יפה. Deep-init AI אינו כזה. האפליקציה החיה, אתר הפרסום ומאגר TypeScript/TSX של 28584 שורות מחברים שער Telegram רב-דיירים לגיבוי בין ספקים, כלים שרצים בשרת, זיכרון, תזכורות, קול, שרתי MCP, מנהרות SSH לזוגות וקונסולת mission-control. בקוד יש 36 נתיבי API, 59 סקריפטים לתחזוקה ולבדיקות, סודות רישום מוצפנים וחבילת replay אמיתית. ואז השיווק טוען שהסוכן «יכול לעשות כל מה שבן אדם עושה במחשב» ו«אף פעם לא ישן». הקוד תומך בפעולות מסוימות רבות, אבל לא בהבטחות האוניברסליות האלה.
מה עובד
- Session-bound tenants ו-encrypted secrets
- Telegram gateway, memory, reminders ו-tools
- Provider fallback ו-offline reflex
- 31 replay checks עברו
מה לתקן
- cron פתוח בלי secret וסומך על header רגיל
- bot token בתוך webhook query
- אין LICENSE למרות open source
- Claims מוחלטים רחבים מהיכולת המוכחת
איך זה בנוי
Next.js משרת portal ו-36 routes. Auth משתמש ב-scrypt, HMAC cookies ו-tenant tokens. Registry מצפין secrets ו-memory ב-AES-GCM ומשתף state ב-Blob. Telegram מזין providers, tools, logs, memory ו-reminders; SSH tunnels שולטים במכונות.
ממצאי אבטחה: ברירות מחדל חזקות ושני קצוות לתיקון
Tenant routes בדרך כלל דורשים session. אך `/api/cron` פתוח בלי CRON_SECRET וסומך על `x-vercel-cron`. נדרש secret תמיד. Webhook כולל bot token מלא ב-query; החליפו ב-webhook secret ו-server lookup.
הצפנת טוקן של בוט במנוחה לא תועיל אם אותו טוקן מופיע בכתובת webhook.
מה הבדיקות והמבחנים מראים
lint בלי errors ו-warning אחד, build עובר, audit ללא advisories, catalog fresh ו-31/31 snapshot checks כולל injection. scripts אינם CI מחייב ואין workflow.
| Check | Result |
|---|---|
| ESLint | 0 errors, 1 warning |
| Production build | Pass, 1 tracing warning |
| Dependency audit | 0 advisories |
| Snapshot replay | 31 pass, 0 fail |
השיווק מול מה שאומת
האפליקציה עובדת EN/RU/HE RTL והיכולות המרכזיות קיימות. browser automation ו-24/7 תלויים ב-hosting, storage, cron, bot ו-providers.
רישוי והפעלה שוטפת
README אומר open source אך אין LICENSE. קוד ציבורי אינו רישיון. last-write-wins דורש concurrency tests.
איך הוא נראה ונקרא
הפורטל החי הוא העבודה הכי יפה בסדרה: נייר קרם, הדגשות כתומות בסגנון טרמינל, תוויות קטנות במונוספייס ולוח רצף עלייה שמסביר מוצר מורכב בלי להפוך ללוח בקרה גנרי. אתר הקידום עובר לאסתטיקה כהה ותפעולית ומוסיף סיפור מוצר אמין של 30 שניות. צילומי המסך, הסרטון והעברית עם RTL הם נכסים אמיתיים. הנקודה החלשה היא הניסוח. "יכול לעשות הכול", "לעולם לא ישן", "לומד בעצמו" ו"מפעיל במשרה מלאה" מבטיחים דברים שהארכיטקטורה אינה יכולה להבטיח בכל פריסה.
פסק דין
Deep-init AI היא קונסולת סוכנים ניסיונית מרשימה: חיבור אמיתי לטלגרם, גבול טוב בין דיירים, מצב משותף מוצפן, מעבר בין ספקים, לולאת כלים שימושית וראיות שחזור חזקות מהרגיל. זה הפרויקט הכי שאפתני טכנית מבין החמישה. לפני שסומכים עליו כמפעיל תמידי, צריך לנעול את ה-cron, להוציא טוקני בוטים מכתובות, להוסיף רישיון, לאוטומט את מערך הבדיקות הרחב ולצמצם את הטענות האוניברסליות למה שנמדד.
FAQ
מהו Deep-init AI?
Personal agent לאירוח עצמי עם console, Telegram, fallback, memory, reminders, voice, MCP ו-SSH.
האם הוא באמת 24/7?
הוא מקבל webhooks של טלגרם ומשגר תזכורות דרך cron, אבל זמינות תלויה באחסון, באחסון המצב, בהגדרת ה-cron, בהגדרת הבוט ובספקים. "24/7" הוא יעד שהוא שואף אליו, לא תכונה מובטחת.
האם הוא open source?
קוד המקור פומבי, אבל ב-commit שנבדק אין קובץ LICENSE. בלי רישיון מפורש אין לאחרים הרשאה ברורה להשתמש בו, לשנות אותו או להפיץ אותו מחדש.
האפליקציה החיה · אתר הקידום · קוד המקור
Reviewed source at commit be8604b · live app and promo checked · build, lint, audit, catalog and snapshot replay reproduced 2026-09-21