Обзор Deep-init AI: настоящая инженерия и заявления шире, чем выдерживает код

DEEP PROJECT REVIEW · SOURCE + TWO LIVE SITES

Большинство демо агентов - макеты с красивым градиентом. Deep-init AI не из них. Живое приложение, промо-сайт и репозиторий TypeScript/TSX на 28 584 строки соединяют tenant-aware шлюз Telegram с резервными провайдерами, серверными инструментами, памятью, напоминаниями, голосом, MCP-серверами, SSH-туннелями для пар и консолью mission-control. В исходниках 36 API-маршрутов, 59 служебных и тестовых скриптов, зашифрованные секреты реестра и настоящий replay-набор. А маркетинг утверждает, что агент «может делать всё, что человек делает за компьютером» и «никогда не спит». Код подтверждает многие конкретные действия, но не эти универсальные обещания.

Как это устроено

Next.js 16 обслуживает portal и 36 routes. Auth использует scrypt, HMAC HttpOnly cookies и tenant pairing. Registry шифрует bot/provider secrets и memory AES-GCM; Blob делит state между lambdas. Telegram ведёт в provider chain, tools, logs, memory и reminders. SSH tunnels дают команды paired machines.

Находки по безопасности: крепкие значения по умолчанию и два края для исправления

Tenant routes обычно требуют session и игнорируют client tenant IDs. Но `/api/cron` при отсутствии secret открыт, а при наличии доверяет `x-vercel-cron`, который client может выставить. Требуйте secret всегда. Own-bot webhook содержит полный bot token в query; замените отдельным webhook secret и server lookup.

Шифрование токена бота на диске ничего не даёт, если тот же токен попадает в URL вебхука.

Что показывают тесты и проверки

Lint: 0 errors, 1 warning. Build проходит 38 routes с одним tracing warning. Audit: 0 advisories. Catalog fresh. Snapshot suite: 31/31 checks, включая injection case. Но scripts не собраны в обязательный CI, workflow отсутствует.

Маркетинг и то, что проверено

Live app работает EN/RU/HE RTL. Pairing, fallback, voice, memory, reminders, MCP и SSH есть. Но browser automation и “anything” не гарантированы каждым deployment; 24/7 зависит от Vercel, Blob, cron, bot и providers.

Лицензия и бесперебойная работа

README говорит open source, но LICENSE нет. Public source не даёт ясных прав. Merge-before-write остаётся last-write-wins; нужен concurrency testing.

Как он выглядит и звучит

Живой портал - самая красивая работа серии: кремовая бумага, оранжевые терминальные акценты, мелкие моноширинные подписи и панель с последовательностью загрузки объясняют сложный продукт и не скатываются в типовую панель. Промосайт уходит в тёмную операционную эстетику и добавляет правдоподобный 30-секундный рассказ о продукте. Скриншоты, видео и иврит с RTL - настоящие материалы. Слабое место - тексты. «Может всё», «никогда не спит», «самообучение» и «полноценный оператор» обещают то, что архитектура не гарантирует в каждом развёртывании.

Вердикт

Deep-init AI - впечатляющая экспериментальная консоль агента: настоящая связка с Telegram, хорошая граница между арендаторами, шифрованное общее состояние, переключение провайдеров, полезный цикл инструментов и более сильные, чем обычно, доказательства по воспроизведению. Это самый амбициозный технически проект из пяти. Прежде чем доверять ему как оператору «всегда на связи», нужно закрыть cron, убрать токены ботов из URL, добавить лицензию, автоматизировать расширенный набор тестов и урезать универсальные заявления до измеренного.

Живое приложение · Промо-сайт · Исходный код

Reviewed source at commit be8604b · live app and promo checked · build, lint, audit, catalog and snapshot replay reproduced 2026-09-21