Ещё недавно индустрия всерьёз спорила, кто быстрее пишет код — человек с IDE или нейросеть. Спор фактически завершён: генерация стала дешёвой и массовой. Модель выдаёт сотню строк за секунды, но понять, можно ли этому доверять, по-прежнему способен только человек. Вот и вышло, что узким местом разработки оказалась не скорость письма, а проверка. Под неё сейчас достраивается отдельный слой индустрии — инструменты и инфраструктура, задача которых верифицировать не программиста, а машину. Три сюжета — разворот статического анализа к ИИ-коду, запрос на бенчмарки «за пределами работоспособности» и разговоры о файловых системах для агентов — складываются в одну картину.
Sonar — компания за SonarQube, годами бывшим стандартом статического анализа, — судя по всему, делает ставку на проверку именно ИИ-кода. Логика железная: раньше анализатор отлавливал человеческие ошибки, теперь основной поток сомнительных строк, похоже, идёт от моделей.
У такого кода, как ожидается, свой характерный букет рисков. Модель может сослаться на API, которого не существует, притащить лишнюю зависимость, воспроизвести устаревший паттерн вместе с его уязвимостями — и всё это при этом успешно компилируется и проходит тесты. Дальше по нарастающей: ждут, что агенты со временем научатся сами открывать пулл-реквесты по тикету — и тогда темп генерации рискует обогнать способность человека это осмысленно читать.
В такой схеме ревью становится главным затором. Диффы идут потоком, внимание выгорает, approval вырождается в ритуал. Поэтому инструментам качества, по всей видимости, предстоит смена ролей: статический анализ из «фильтра для новичков» дорастает до обязательного шлюза между моделью и продакшеном, а верификация — из полезной рекомендации до условия существования всего ИИ-конвейера.
«Тесты зелёные — значит, всё работает» — формула, которая трещит по швам, стоит тестам и реализации выйти из-под пера одной и той же модели. Сценарий вполне вероятный: ассистент генерирует функцию и заодно тесты, совместимые с её же ошибкой. Покрытие высокое, сборка зелёная, а баг всплывает уже в продакшене. Есть и риск похуже: модель напишет проверку под реализацию, а не под спецификацию — тогда код окажется подогнан под тест, а не наоборот.
Любопытно, что сигнал о выходе из этой ловушки, как ожидают, придёт со стороны железа. По имеющимся данным, обсуждаются бенчмарки beyond functional correctness: оценивать не только формальное соответствие задаче, но и семантику, безопасность, сопровождаемость. Кремний этот путь прошёл давно — там верификация съедает львиную долю цикла разработки, потому что «формально рабочий», но нечитабельный или уязвимый модуль в итоге обходится дороже забракованного. Теперь этот урок, как ожидается, переносят в софт.
Сюда же — растущее разочарование в старых лидербордах. Их всё чаще критикуют за возможную протечку заданий в обучающие данные: модели могли заранее видеть «экзаменационные» задачи. Представьте экзамен, ответы на который висят в коридоре. Оттого финал звучит особенно едко: написать работающий код стало легко. Написать правильный — нет.
Под агентов, как ожидается, придётся строить отдельную инфраструктуру — вплоть до специальных файловых систем. И это не каприз: классические хранилища и git создавались под человека, а агент может переписать файл целиком, запустить произвольный код и поднять собственное окружение — причём в тысячах параллельных сессий. Попробуйте представить тысячу стажёров, каждому из которых выдали root-доступ.
Отсюда, по имеющимся данным, растёт спрос на agent-native среду: песочницы со снапшотами, изоляцией, откатом состояния и полным журналом того, кто, что и почему изменил. Обсуждаются и варианты поделикатнее — отдельное «зеркало» репозитория с контролем доступа, где модель не трогает рабочий код напрямую, а предлагает патч, который принимает человек или автоматика.
Логика доводится до конца: если «разработчик» — процесс без памяти о проекте, верификация должна стать самой средой. Каждый запуск изолирован, каждое изменение воспроизводимо, каждый тест идёт в контролируемых условиях. Параллельно, по имеющимся данным, формируется рынок трассируемости: логи решений агента, привязка правок к задаче, право на откат. Над CI надстраивается следующий слой — не «проверка человека», а «проверка машины машиной». Именно он и определит, можно ли доверять агентам целые задачи, а не отдельные строчки.
У нас тренд, судя по всему, катится по той же колее. Сбер развивает GigaCode — ассистента разработчика на собственных моделях; Яндекс предлагает код-ассистента в своём облаке на базе YandexGPT. VK, Ozon, Авито, Т-Банк — крупные игроки, которые, по всей видимости, тоже будут внедрять помощников во внутренние процессы и заново пересчитывать эффект на скорость поставки фич. Собственные облака здесь сильно упрощают жизнь: ассистента можно посадить в закрытый контур компании.
Слой проверки — тоже свой. PVS-Studio, российский статический анализатор с многолетней историей, ищет дефекты и уязвимости независимо от того, кто написал код — человек или модель, — и потому в новую схему встраивается практически без переделок. У 1С — собственная экосистема автоматизированных проверок конфигураций, обязательная на крупных внедрениях. Подключается и регуляторика: реестр отечественного ПО и требования к безопасной разработке, по всей видимости, будут подталкивать корпорации и госзаказчиков к более активному применению статического анализа.
Об ограничениях говорят открыто: доступ к вычислительным мощностям, нехватка отраслевых бенчмарков, зависимость от зарубежных IDE и плагинов. Но перспектива просматривается в связке «свой ассистент плюс свой анализатор» — именно на стыке генерации и верификации российским игрокам проще всего занять нишу.
Узкое место разработки, похоже, окончательно переезжает из синтеза в верификацию — и на этом стыке уже рождается новый слой индустрии: анализаторы, обученные на ошибках моделей, песочницы для агентов, бенчмарки «за пределами работоспособности». «Зелёные тесты» при этом меняют статус: из финальной точки они превращаются в промежуточную, подтверждающую лишь, что код согласен сам с собой. А конкурировать индустрия будет уже не за скорость генерации, а за умение достоверно доказать, что сгенерированному можно доверять.