Привет из будущего
Сидим в 2030-м, пьём кофе. Он всё ещё горячий, всё ещё кофеиновый - и, к счастью, не заменён нейроинтерфейсом. Вокруг - обломки стартапов: одни вдохнули в инфраструктуру кислород, другие просто потухли. devspace теперь вшит в каждый кластер. aur-malware-check стал таким же невидимым, как воздух - замечаешь только, когда его нет. А Perfai Security? Он не сгорел. Но и не взлетел. Просто висел на заднем плане - как тень от лайнтинга, которая пытается казаться телом.
В 2026-м он выглядел многообещающе. Не как , а как осторожный вопрос: «А вдруг ваш ИИ-ассистент вместо сортировки массива вставит backdoor?» Он не кричал. Не обещал апокалипсис. Просто предлагал проверять код, написанный на волне - vibe coding, как это тогда называли. Будто писать баг-репорт в три ночи - медитация. И вот появился Perfai. С лицом тревожного бота и слоганом: «Я присмотрю за вашими мечтами».
Что сбылось
Проблема была реальной. ИИ-код - это не просто строки. Это каша из предобученных шаблонов, где уязвимость приходит не из инпута, а из контекста. Модель, обученная на старых туториалах, вставляет deprecated-библиотеку с CVE - а код при этом выглядит безупречно. Perfai ловил такие случаи. Не все, но многие.
Он вошёл в пайплайны - тихо, без пафоса. Как антивирус в эпоху dial-up: никто не аплодировал, но без него было тревожно. Особенно в компаниях, где compliance-менеджер наконец понял: «автодополнение - это поставщик, как Oracle или AWS». Perfai ловил SQLi в Python-скриптах, зашитые ключи в конфигах, странную цепочку импортов - когда ИИ тянет библиотеку с GitHub, а та - в китайский CDN с бэкдором. Он не предотвращал всё. Но мешал. А иногда - останавливал.
Он не стал культовым. Но стал привычкой. Как git commit -m "fix" или линтер. Кое-где его отключили - слишком много шума, слишком много ложных срабатываний на код в стиле «medium-туториалов 2021». Но в целом - остался. Выжил. В мире, где 90% ИИ-стартапов умирают за два года, это уже победа.
Что нет
Он не был тем, кем позиционировал себя. «Инструмент для нового поколения кода» - красиво, пока не заглянешь под капот. Там обычный SAST: те же правила, те же движки. Только в новой обёртке - с этикеткой «AI-generated threats». Никакого ИИ внутри. Никакой магии. Просто текстовый анализ. Как SonarQube, только с тревожным тоном.
На Product Hunt его встретили с вежливым интересом: 252 голоса, комментарии в духе «cool, but why?». Score - 77. Новизна - 1 из 10. Как если бы ты пришёл на презентацию с «ным» тостером, а тебе сказали: «Он греет хлеб? Ну, это мы уже видели».
Команда не стала иконой. Ни одного раунда после seed. Ни одного громкого выхода. Просто апдейты. Тихие, как скрип серверной двери. Искали product-market fit, как котёнок - маму. Продавали как . Рынок ответил: «спасибо, у нас и так есть CodeQL, Copilot и совесть». Потому что если у тебя уже стоит стек, который ловит и стиль, и уязвимости, - зачем ещё один линтер с ИИ-приставкой?
Совет себе 2026
Если ты в 2026-м и думаешь: «Вау, ИИ-секьюрити!» - остановись. Сначала спроси: а что он точно ловит, чего не ловят остальные? Как он работает с цепочкой: prompt → галлюцинация → уязвимость? А не просто с результатом? А как он отличает плохой код от плохого ИИ?
Не верь словам вроде «next-gen», «ный подход», «новая эра». Веря только тому, что можно проверить. Если команда не показывает - где, как, какую дыру закрыла, - считай, это просто ещё один в списке. Perfai закрыл мелкую трещину. Но не спас дом. Следующая атака придёт не из кода. Она придёт из промпта. А ты будешь сидеть, смотреть в логи - и думать: «ну хотя бы линтер работает». Работает. Но не там.