Теперь агент может не только посмотреть на уязвимость, но и открыть draft PR с предложенным фиксом и даже попытаться разрулить тесты.

ИИ уже заходит не в «подсказки по коду», а в security-рутину команды.

Использовать это там, где обычный bump версии уже не спасает и нужны правки по проекту.

Не относиться к agent PR как к готовому ремонту. Тут нужен обычный взрослый review, прогон тестов и проверка краев.

Сигнал еще важнее самой инициативы: frontier-модель для defensive security уже, по заявлению компании, находит тысячи high-severity уязвимостей, в том числе в крупных ОС и браузерах.

Угроза «ИИ когда-нибудь усилит поиск уязвимостей» закончилась. Это уже не теория.

Пересматривать доступы, tool use, секреты, sandbox и сценарии, где агент может что-то исполнять, а не только советовать.

Не выпускать агентные штуки в прод как милого помощника без kill switch, логов и ограничений по действиям.

Open-модели стали заметно серьезнее для reasoning, function calling, JSON-вывода и длинного контекста. А значит, local-first и on-prem сценарии снова выглядят не как хобби, а как рабочая ветка.

Для части команд выбор между hosted и open-моделью становится уже не идеологией, а инженерной экономикой.

Проверять, можно ли закрыть чувствительные или фоновые задачи локальной моделью без лишней цены за внешний API.

Не переезжать на open-модель только потому, что она open. Без evals на своем стеке это очень быстрый способ купить себе новую сложность.

В ней нет: симптома, сценария, критерия, что именно сломалось, поэтому один идет проверять доставку, другой - payload, третий - клиентскую логику.

Потом выясняется, что проблема вообще в переходе не на тот экран.