Как проверить код, который написал ИИ, если Вы не разработчик

Проект написан агентом за вечер, работает, выглядит готовым. Вопрос, который почти никто себе не задаёт: что там под капотом, если сам код ни разу не читал. Агент выполняет задачу буквально и молчит о том, что не спросили. Дыра в безопасности или забытая проверка не появится в отчёте "готово", если Вы не попросили её найти отдельно.

Ниже базовый набор проверок для тех, кто ведёт проект через ИИ-агента без опыта разработки. Каждый пункт закрывает свою слабую точку, инструменты бесплатные или встроенные.

Сверка с референсом, а не с ТЗ на словах

Техническое задание почти никогда не расписано до последней мелочи, и агент заполняет пробелы так, как считает нужным сам. Разница закрывается примером: дайте агенту референс, готовый сайт, экран, кусок текста, и попросите свериться с ним, а не додумывать по своему усмотрению.

Дальше можно пойти на шаг глубже и попросить агента самого проверить результат: сделать скриншот, сравнить с референсом, отчитаться только когда расхождений ноль. Формулировка задачи агенту в этом случае важнее выбора модели.

Код-ревью встроенным инструментом

В Claude Code есть встроенная команда /code-review. Она проверяет изменения в текущей ветке на баги и логические ошибки, глубину анализа можно выставить от low до max отдельным параметром. Отдельная версия, /code-review ultra, поднимает в облаке несколько агентов-ревьюеров параллельно и перепроверяет каждую найденную проблему, чтобы в отчёт не попадали ложные срабатывания.

Важная оговорка: /code-review проверяет, работает ли код технически, а не то ли он вообще делает, что просили в задаче. Для сверки со спецификацией и стандартами проекта существует отдельный открытый скилл-плагин, github.com/mattpocock/skills, устанавливается командой /plugin install mattpocock-skills прямо внутри Claude Code, входит в официальный маркетплейс.

Проверка на безопасность

Про утечки данных вайб-кодерам почти никто не рассказывает отдельно, хотя ошибки здесь самые дорогие. Частые проблемы на практике: файл .env с ключами API не добавлен в .gitignore и уходит в публичный репозиторий; пароли и ключи вставляют прямо в переписку с агентом, и они остаются в истории сессии вместо отдельного защищённого хранилища; сервис висит на открытом порту без ограничения попыток входа.

В Claude Code для этого есть встроенная команда /security-review, появилась в августе 2025 года, доступна на платных тарифах без отдельной настройки. Она читает изменения в текущей ветке и ищет уязвимости: SQL-инъекции, межсайтовый скриптинг, проблемы аутентификации, небезопасную работу с данными.

Отдельно есть проект от OpenAI, Codex Security, CLI-инструмент, который сканирует весь репозиторий целиком, строит модель угроз и предлагает патч, который человек утверждает сам. Для запуска нужны Node.js версии 22.13 или новее и Python 3.10 или новее.

Утечки уже случившихся ключей и паролей в истории git ловит открытый gitleaks: сканирует репозиторий на секреты, которые туда попали по ошибке.

Что происходит уже после запуска

Проверка кода перед релизом не закрывает риск на сервере после публикации. fail2ban банит адреса, которые перебирают пароль к серверу автоматически, программы делают это круглосуточно, независимо от того, интересен ли конкретный проект кому-то лично.

Мониторинг ресурсов сервера в реальном времени закрывает открытый beszel: CPU, память, диск, сеть, docker-контейнеры и алерты при всплеске нагрузки, чтобы проблему было видно раньше, чем она превратится в инцидент.

Кому это нужно, а кому пока рано

Нужен этот набор тем, кто уже довёл проект вайб-кодингом до рабочего состояния и планирует показывать его реальным пользователям или клиентам, не только себе на компьютере. Пока проект живёт черновиком для личных тестов, разворачивать всю цепочку проверок избыточно.

Полноценный код-ревью с человеком в команде разработки эти инструменты не заменяют. Для небольшого проекта эксперта это разумный минимум, для серьёзного сервиса с реальными деньгами внутри нужна проверка живым специалистом по безопасности, инструменты здесь только первый фильтр.

Итог

Агент, который написал код, не расскажет сам, что забыл проверить. Встроенные /code-review и /security-review в Claude Code, открытые gitleaks, Codex Security, fail2ban и beszel закрывают разные точки: логику, уязвимости, утечки, сервер после запуска. Ни один из них не требует написания кода самим.

Про инструменты и связки для вайб-кодинга без штатного разработчика рядом пишу в канале «Растём с ИИ». Разбор смежной темы: почему AI-сайт выглядит дёшево и как это исправить.

Если нужно разобрать конкретный проект и его слабые места лично, можно начать с бесплатной консультации.