Многие команды активно внедряют ИИ-инструменты и радуются стремительному росту кодовой базы. Но вскоре выясняется, что количество багов растёт с той же скоростью, а то и быстрее. Аудиты кода, несмотря на автоматизацию, перегружают бэклог на недели вперёд.
К 2026 году ИИ-революция уже свершилась — быстрее, чем мы успели осознать, как адаптировать процессы. Главный вызов: как удержать этот взрывной рост кода от краха в продакшене.
Цифры, которые не сходятся
93% разработчиков используют ИИ-инструменты ежемесячно. JetBrains подтверждают: 92,6%. Cursor, GitHub Copilot, Claude Code стали базовой инфраструктурой за год.
Казалось бы, продуктивность должна вырасти в разы. Но шесть независимых исследований показывают одно: реальный прирост — около 10%. Не 50%, не 2x.
Ещё удивительнее данные METR (июль 2025): опытные разработчики с ИИ тратили на задачи на 19% больше времени. При этом они были уверены, что стали на 20% быстрее.
Разрыв между ощущением и реальностью — 39 процентных пунктов.
Почему? ИИ ускоряет набор кода — это создаёт иллюзию скорости. А вот проектирование, ревью, отладка и архитектурные решения — ничто из этого не ускорилось. Наоборот, замедлилось: больше кода = больше работы на всех этапах.
Бутылочное горлышко сместилось
Согласно теории ограничений Голдратта, написание кода занимает 25–35% цикла разработки. Остальные 65–75% — требования, ревью, тестирование, безопасность, деплой, митинги.
ИИ ускорил первую часть. Остальное — нет. Во многих организациях эти этапы даже замедлились: больше кода = больше ревью, тестов, поддержки.
Майкл Труэлл, CEO Cursor: «Cursor значительно ускорил написание продакшен-кода. Но для большинства команд ревью выглядит так же, как три года назад».
Покупка Cursor стартапа Graphite для code review — красноречивее любых заявлений. Реальное узкое место теперь там.
Данные Faros AI: команды с высоким adoption ИИ мержили на 98% больше пул-реквестов. Время ревью выросло на 91%. Баги — на 9%. Метрики DORA снизились на 25 процентных пунктов. Не рост — падение.
Кризис в одном предложении: кода стало больше, а всё, что идёт после его написания, захлебнулось.
Кризис безопасности, которого никто не ждал
45% ИИ-кода не проходит тесты безопасности. От 40 до 62% содержат уязвимости или архитектурные дефекты. Плотность уязвимостей в ИИ-коде в 2,7 раза выше, чем в написанном людьми. Это — норма при отсутствии контроля.
Veracode проанализировал 1,6 миллиона приложений: 82% компаний имеют security debt (было 74% годом ранее). Критические уязвимости выросли с 8,3% до 11,3%. Компания называет разрыв между обнаружением и исправлением «кризисом».
Теперь 10 000+ новых security findings в месяц приходится на ИИ-код. Рост в 10 раз за год.
Атакующие это поняли быстрее. Когда ИИ генерирует код в 10 раз быстрее, а люди не успевают ревьюить, математика на стороне злоумышленников. 57% организаций признают, что ИИ-инструменты создают новые риски. 70% сообщают о подтверждённых или предполагаемых уязвимостях.
SQL injection и XSS в ИИ-коде — в 86% случаев. Log injection — в 88%. Захардкоженные учётные данные — даже в enterprise-инструментах. Архитектурные уязвимости (обход аутентификации, управление сессиями) выросли на 153%.
Ревью кода раньше было трудоёмким, но управляемым. Теперь оно требует человеческого суждения в объёме, который не масштабируется.
Почему так вышло
Кризис не был неизбежен. Он архитектурный. Организации оставили старые процессы и просто добавили в них ИИ-код. Безопасность проверяют вручную. Ревью всё ещё требует двух живых разработчиков. Скорость генерации выросла в 10 раз. А всё, что идёт после — не изменилось.
Но кризис починим. Мы не провалились с ИИ-инструментами. Мы провалились с перестройкой процессов под мир дешёвого и быстрого кода. Инструменты стали лучше. Системы вокруг них — нет.
Что реально работает
Выигрывают не те, кто генерирует больше кода. Выигрывают те, кто перестроил весь пайплайн — не только этап написания.
Безопасность встроена в процесс, а не добавлена в конце. Ревью адаптировано под объёмы. ИИ берёт на себя рутину. Люди — решения, требующие суждения.
Команды с улучшением метрик DORA признали: code review теперь на критическом пути. Они добавили ревьюеров, автоматизировали рутину, перестали считать «скомпилировалось и тесты прошли» достаточным для продакшена.
ИИ — компонент системы, а не замена процессу. ИИ пишет код. Люди решают, стоило ли его писать.
Что я вижу на практике
Я использую Claude Code каждый день. Разрыв между ощущением и реальностью очевиден. Код, на который я потратил бы час, ИИ пишет за 10 минут. Но потом трачу ещё 20 минут на проверку. ИИ может пропустить шаги из плана или написать тесты, которые не ловят реальные проблемы.
Выигрыш есть. Не 60x, как обещают маркетологи. У меня — реальные 10x. Но это на моих задачах: своя база, знакомый контекст, чёткие спецификации. METR тестировал опытных разработчиков на чужих репозиториях — цифры разные, но направление одно: выигрыш зависит от понимания контекста.
ИИ-подход — не только про эффективность программистов. Это демократизация разработки. Главное — достаточный контекст и хорошая документация.
ИИ быстрее всего, когда вы точно знаете, что хотите. Медленнее всего — когда используете код, чтобы понять, что нужно. Тогда итерации над спецификацией и реализацией множат время.
Каждый мой проект проходит полный цикл тестирования и проверки безопасности до деплоя. Не потому что ИИ пишет плохой код. Потому что он пишет правдоподобный код. А это самый опасный вид неправильного. Ревью ловит то, что ИИ пропускает. Тесты — не идеальные, но система работает стабильно.
ИИ-революция реальна. Она просто пришла быстрее, чем процессы, которые должны были удержать этот код от создания security debt и бэклога.
Команды, которые закроют этот разрыв, выпустят работающий софт в 2026. Остальные будут ревьюить код до тепловой смерти вселенной.
Хватит мерить спринт строчками кода. Мерьте, сколько функционала реально доехало до пользователей.