Аудит кода подрядчика начинают агенты: репозиторий читают они, риски отбирает инженер

Как понять, что подрядчик написал плохо? Начните с того, что перестало работать у бизнеса. Клиент оплатил, но не получил доступ: это причина проверить цепочку оплаты.

Оценка качества кода полезна, когда объясняет последствие. Дублирование расчёта цены важно, если витрина и касса могут назвать разные суммы. Название переменной само по себе не повод останавливать приёмку.

Объём аудита фиксируют до чтения. Исходники показывают, как написана система. Рабочие настройки и нагрузку проверяют отдельно. Аудит информационных систем может охватывать больше, чем доступный репозиторий.

Что отдавать агенту первым? Построить карту кода и проследить важные сценарии через несколько файлов. В оплате мало прочитать кнопку: нужно найти проверку платежа и выдачу доступа.

Такой поиск уже описан у Anthropic. В анонсе Claude Code Security от 20 февраля 2026 компания показывает анализ связей между компонентами и проверку подозрений перед человеком. Это пример инструмента, а не замер нашего аудита.

«Прочитал репозиторий» требует списка охваченных модулей. Большой проект разбирают частями, фиксируют пропуски и недоступные зависимости. Проверка последнего изменения не означает проверку всего проекта.

Запуск на новой копии проверяет карту делом. Если инструкция обещает запуск, а нужен файл из ноутбука ушедшего автора, проект ещё не передан для продолжения работы. Условия передачи и права разобраны отдельно: код у заказчика.

Первое чтение проводят без рабочих ключей и базы клиентов. Границы данных описаны в разборе персональных данных и ИИ-агентов. Безопасник согласует отдельную проверку там, где исходников недостаточно.

Хорошее задание заканчивается составом отчёта и критерием готовности. Формулировку такого поручения разбирает статья о постановке задач агенту. Просьба «посмотреть, всё ли нормально» оставляет способ проверки на усмотрение модели.

Зачем читать код, если тесты зелёные? Тест проверяет записанный сценарий. Ревью может найти условие, которое никто не включил в проверки.

Настранице нашей машины 7 октября 2026 указаны 2 685 тестов на каждом пуше плюс ревью. Число описывает контур выпуска, а не долю ошибок, которые он гарантированно ловит.

Другая модель даёт полезный второй взгляд. Кто отвечает за её ошибку и кто разрешает выпуск, разобрано в статье об ответственности за ошибки ИИ. Здесь важен результат ревью, который можно проверить.

Что должно остаться после аудита? Карта проекта, подтверждённые риски и очередь исправлений с проверкой результата. Отдельным списком идут гипотезы и места, до которых проверяющий не добрался.

Находка обязана связывать код с последствием. В нашем ревью оплаты подпись подтверждала отправителя платежа, но не покупку нужного товара. Исправление добавило сверку товара, а его проверка должна отвергать оплату другого продукта.

Спорный пункт не превращается в дефект от уверенного тона агента. GitHub прямо предупреждает о ложных срабатываниях ревью. Человеку нужны условие ошибки и воспроизведение, а не красная метка.

Проверенные риски ставят раньше косметики. Ошибка выдачи доступа после оплаты требует решения до следующего запуска продаж. Переименование переменных может подождать, пока команда работает в том же участке.

Отчёт о старом коде не обязан заканчиваться переписыванием. Если опасный путь можно закрыть проверкой и локальной правкой, у владельца появляется выбор. Разбор ремонта вынесен в статью о техническом долге.

Независимость проверки видна по доказательствам. Попросите показать, что можно оставить как есть, и обосновать каждую обязательную правку. Список «всё переделать» без условий и проверок не помогает принять проект.

Сколько стоит аудит кода с агентами? Отдельного замера клиентского аудита у нас нет. Агенты меняют первый проход, но проверку рабочих сценариев и ответственность инженера нужно считать отдельно.

Даже у одной студии срок зависит от предмета. На 7 октября 2026 Surf обещает5 рабочих дней для отдельного аудита кода и 2–4 недели для комплексной проверки. Оба срока взяты с открытых страниц студии.

Сравнивать предложения нужно по одинаковому результату. Карта файлов и список подозрений требуют другой работы, чем проверка нагрузки и рабочего окружения. Срок короткого прохода нельзя выдавать за срок всего аудита.

Как не потерять результат после аудита? Передать следующему исполнителю карту кода вместе с очередью исправлений. Он должен суметь запустить проект и найти путь оплаты без рассказа ушедшего автора.

Настранице агентной разработки для ситуации «программист пропал» мы показываем файл «Как устроен ваш код.md». В нём есть запуск и проблемные места. Это состав предлагаемого результата, не опубликованный клиентский кейс.

Описание работает, когда его найдёт новый исполнитель. В нашей июльской истории правило существовало, но входная инструкция к нему не вела. Как устроить эту дверь, разобрано в правилах для ИИ-агентов.

Подписка нужна, если после разбора есть очередь доработок. На /services тариф «Один проект» стоит 250 000 ₽ в месяц на 7 октября 2026. Это поток разработки, а не цена заключения независимого аудитора.

Разовый аудит и дальнейшую разработку согласуют отдельно. Текущие условия /services оставляют ревью чужого кода стороне заказчика. На первом разговоре уточняют, кто проверит унаследованный проект и кто примет исправления.

Если вы собираетесь подключать агентов к своей разработке, тест для руководителя поможет выбрать следующий шаг. Сам код проверяет инженер по согласованному заданию, результата теста для технической приёмки недостаточно.

1. Закажите проверку бизнес-рисков и зафиксируйте её охват до чтения кода.

2. Агент собирает карту и подозрения. Инженер подтверждает последствия и отбрасывает ложные находки.

3. Примите отчёт с доказательствами, приоритетами и непроверенными местами.

4. Назначьте исполнителя ремонта и проверку, которая поймает повтор каждой исправленной ошибки.

5. Сравнивайте цену за одинаковый результат и отделяйте разовый аудит от дальнейшей разработки.