AI-пентест сайтов и проверка кода

21. AI-пентест сайтов и проверка кода — проверка скептика

Итог: с аналитиком не согласен. Вердикт должен быть «нет», а не «сомнительно». Денежный потенциал 2/10, а не 4/10. Лучшая форма («разовый AI-пентест с отчётом для SOC 2 за $990–3 500 через партнёров по комплаенсу») не держится ни по цене, ни по каналу. Нижнюю цену уже занял Aikido, а партнёрский канал, на который опирается вердикт, в заявленном виде не существует.

Ограничение: в этом прогоне лимит WebSearch кончился после первого запроса, поэтому всё ниже проверено через WebFetch по первоисточникам (14 обращений). Цитат с Reddit по-прежнему нет.

Что подтвердилось

• Aikido: типовой пентест стоит $4 000 / €3 500 / £3 000, условие «No High or Critical Finding = Don't Pay» есть. https://aikido.dev/pricing
• Intruder: AI-пентест от $3 500 за тест, тарифы Cloud и Pro без публичной цены. https://www.intruder.io/pricing
• Astra: Pentest Auto стоит $199 в мес или $2 999 в год и включает «Pentest report for SOC2, ISO 27001, HIPPA», Expert стоит $5 999 в год, Enterprise от $9 999 в год. Сканер стоит $69, $199 и $499 в мес. https://www.getastra.com/pricing
• Cobalt: Autonomous Pentest за $3 500 — это акция до 31.12.2026. https://www.cobalt.io/pricing
• HostedScan: $39 / $109 / $189 в мес, Flex от $2 500 в год, white-label в Professional, есть отдельная программа для MSP. https://hostedscan.com/pricing
• Vibe App Scanner на AppSumo: 7 отзывов, рейтинг 4.71, лайфтайм за $49 / $119 / $249. https://appsumo.com/products/vibe-app-scanner/
• Lovable: Quick scan и Deep scan бесплатны. https://docs.lovable.dev/features/security
• Strix: 72.3K звёзд (у аналитика 71.5K, звёзды растут), лицензия Apache-2.0. https://github.com/usestrix/strix

Что опровергнуто или не подтверждено

1. Цена $990 не делает нас дешевле рынка. У Aikido кроме типового теста есть «Rightsized Pentest», который зависит от размера приложения: от $50 до $30 000+ (€45–25 000+). Пентест можно запустить с «Skip payment», бесплатно посмотреть сводку и заплатить только за High/Critical и полный отчёт. В отчёте «audit-ready», под SOC 2 и ISO 27001, есть ретест после фикса, а для тех, кому нужен человек, Aikido аккредитован CREST. Аналитик видел диапазон $50–30 000+, но всё равно позиционирует $990 как «в 4 раза дешевле Aikido». Бесплатное превью, которым аналитик и исходный план хотели поднять конверсию до 3%, Aikido уже делает. https://aikido.dev/pricing
2. Канал «партнёрства с Vanta и Drata» в заявленном виде не найден. На странице партнёров Vanta есть только service providers, AWS channel, auditors и integrations: ни категории пентест-партнёров, ни реферальной комиссии (https://www.vanta.com/partners). У Drata только Channel, Technology и Audit Alliance, пентест-фирм нет (https://drata.com/partners). Страницы /products/penetration-testing у Vanta и /partner-marketplace у Drata отдают 404. В интеграциях Vanta в разделе сканеров уже стоит Aikido (https://www.vanta.com/integrations). Это значит, что «остающийся канал» — не маркетплейс, а обычные холодные продажи vCISO и MSSP, где уже сидят венчурные игроки.
3. «Отчёт для SOC 2» от AI-only пентеста под вопросом. Даже Astra, которая сама продаёт автопентест, пишет: «Automated scanners and AI-only PTaaS are not sufficient», «auditors look for human-driven, adversarial testing». Для SOC 2 Type II такой отчёт «is likely to draw questions if not outright pushback», а среди причин отказа называет «no named human accountable for the report». https://www.getastra.com/blog/compliance/will-an-autonomous-pentest-satisfy-auditors/ Покупатели с бюджетом будут уходить к тем, у кого есть CREST и человек (Aikido, Cobalt), а у нас этого нет. Аналитик называет это «упирается в доверие», но вывод должен быть жёстче: ядро ценности формы — признание аудитором — новичку недоступно.
4. Бесплатный гигант есть, и он сильнее, чем у аналитика. Strix (Apache-2.0, 72.3K звёзд) сам заявляет «compliance-ready pentest reports», а в Enterprise — отчёты под SOC 2, ISO 27001 и PCI DSS. Обёртка над Strix — это не продукт: тот же Strix продаёт Pro за $29 за место. https://github.com/usestrix/strix
5. Vibe-форму съели сильнее, чем пишет аналитик. В Lovable прямо встроены пентесты Aikido («Aikido pentests are billed by Aikido») и Wiz. То есть канал «комьюнити Lovable» уже занят интеграцией лидера. https://docs.lovable.dev/features/security
6. Рынок насыщен на всех ценовых точках: от $50 (Aikido Rightsized) через $2 999 в год (Astra) и $3 500 (Intruder, Cobalt) до $4 000 / $8 000 (Corgea, у Comprehensive есть «SOC 2 & ISO 27001 evidence», https://corgea.com/products/ai-pentest). Пустой ценовой ниши, которую предполагает форма $990–3 500, нет.

Платный поиск по формам

Цифры пайплайна не пересчитываю, они в 21.md.

• Разовый AI-пентест: не нальётся. При $990 это kill. При $3 500 CAC $1,7–9,2 тыс. и окупаемость серая, но в лучшем случае мы продаём то же, что Aikido, Intruder и Cobalt, без CREST и бренда. Что лидеры почти не покупают категорийные ключи (XBOW $2.8K, Horizon3 $1.5K, Intruder −75%), — сигнал, что поиск в категории не конвертит. Канал, который остаётся, — продажи vCISO и MSSP. Маркетплейса нет.
• Подписочный DAST-сканер: не нальётся (CAC около $940 при чеке $39–69, прикидка аналитика). Остаются SEO и бесплатный скан, где уже стоят HostedScan, Astra, Pentest-Tools и Intruder.
• Сканер для vibe-кода: не нальётся (lovable security 40 в мес). Канал закрыт встроенными сканами Lovable и интеграцией Aikido.
• PR-бот или MCP для кода от Claude Code: не нальётся (CAC около $270 против LTV около $230). Есть /security-review у Anthropic и Aikido, Snyk, Semgrep в GitHub Marketplace.
• White-label для MSP: не ясно. Канал — аутрич, то есть продажи. HostedScan уже даёт white-label за $189 в мес.
• WP-плагин: каталог WP.org занят Wordfence (5M+ установок), Solid и Patchstack. Платный поиск не главный канал.

Проверка правил

• Сербский рынок не пролез. Германия есть только в старом плане Альфреда как дешёвый CPC; это Tier-1, и это нормально.
• Team fit не стал причиной вердикта. В заметках команды есть про продажи и поддержку, но вердикт аналитик строит на доверии, цене и канале. Здесь всё по правилам.
• Форм рассмотрено шесть, требование 4–7 выполнено.

Вердикт скептика

Нет. Ниша денежная, но не для нас: каждая форма либо упирается в цену и бренд против Aikido, Intruder, Cobalt и Astra (у Aikido вход от $50, бесплатное превью и CREST), либо её съела платформа (Lovable, Anthropic, GitHub-экосистема). Сильная сторона команды, платный поиск, здесь не работает ни на одной форме, а партнёрского маркетплейса у Vanta и Drata нет. Пять звонков CTO можно сделать, только если тема всплывёт снова: вопрос к ним не «примет ли аудитор», а «почему не Aikido за $50–4 000 с гарантией».

21. AI-пентест сайтов и проверка кода: проверка скептика

Вердикт аналитика: сомнительно, потенциал 4/10. Лучшей формой он называет white-label AI-пентест для веб-агентств и MSP, запасной — AI-пентест за $1 000–1 500 через партнёров по комплаенсу.

Вердикт скептика: нет, потенциал 3/10. С аналитиком не согласен.

Обе опоры вердикта аналитика не выдерживают проверки. White-label для MSP — не пустая гипотеза «без выручки», а давно поделённый рынок с дистрибутором уровня Kaseya. Канал «партнёры Vanta/Drata» закрыт эксклюзивами, и обе платформы раздают AI-пентест бесплатно. Цифры платного поиска (CPC, CAC $1,7–4,3 тыс., payback vibe-сканеров) я не пересчитывал и принимаю как есть.

Что перепроверено

1. Существует ли white-label-сегмент для MSP и агентств, есть ли в нём деньги, свободен ли он.
2. Работает ли партнёрский канал через Vanta и Drata для нового поставщика.
3. Свободна ли ценовая полка $1 000–1 500 за разовый тест.
4. Цены Aikido, Lovable, Astra, HostedScan, ScanLabsAI, Revelion.
5. Выручка мелких игроков: Vibe App Scanner, Hacker Analytics, Intruder.
6. Примет ли аудитор SOC 2 отчёт AI-пентеста.

Что подтвердилось

• Lovable + Aikido: $100 за тест, 1–4 часа, отчёт «audit-ready for SOC 2, ISO 27001», с 24.03.2026 — https://lovable.dev/blog/announcing-pentesting
• Aikido: стандартный пентест = 4 000 кредитов ≈ $4 000, 1 кредит = $1 — https://help.aikido.dev/pentests/pentest-pricing
• Vanta + XBOW: один автотест в год входит в Plus/Growth (компании до 750 сотрудников), дополнительные тесты продаются в приложении. Анонс 05.08.2025 — https://www.msspalert.com/brief/pen-testing-gets-easier-for-startups-with-vanta-and-xbow-integration
• Vibe App Scanner: $788 MRR, 32 подписки, $6 146 за всё время, за 30 дней −18%, тарифы $19/$39 — https://trustmrr.com/startup/vibe-app-scanner.md. Потолок vibe-сканеров действительно крошечный, и он сокращается.
• HostedScan: $189 в мес. с white-label-отчётами и мультитенантностью для MSP — https://hostedscan.com/msp-vulnerability-scanner
• ScanLabsAI: Agency-план £249 в мес. за 50 сайтов, white-label PDF. Источник один, AlternativeTo — https://alternativeto.net/software/scanlabsai/about/
• Intruder ≈ $16,1 млн выручки за 2024 г., ~3 тыс. клиентов — это оценка Latka, не отчётность (https://getlatka.com/companies/intruder). Сама компания сообщает о росте enterprise-ARR на 81% за 2025 г. — https://itbrief.co.uk/story/intruder-posts-81-enterprise-arr-surge-on-ai-cloud-push
• Astra Pentest Auto $1 999 в год за цель. Источники расходятся, у Stingrai $2 999 — https://codeant.ai/blogs/astra-security-pricing
• Аудитор SOC 2 принимает AI-отчёт на своё усмотрение. AICPA пентест прямо не требует, но большинство аудиторов Type II к чисто автоматическим доказательствам относятся скептически — https://www.getastra.com/blog/compliance/will-an-autonomous-pentest-satisfy-auditors/ . Риск «отчёт без бренда не примут» реален.
• Подмены рынка Сербией нет: аналитик рассматривает США, Великобританию и Германию. Заметки о команде (звонки, поддержка) в вердикт причиной не вынесены.

Что неверно или неполно

1. «Выручки у white-label-формы не видно ни у кого» — неверно, и вывод из этого обратный. Выручка есть, но у дистрибутора. Kaseya купила Vonahi (vPenTest) в апреле 2023 г. За год после сделки число MSP-партнёров выросло с ~300 до ~1 600, протестировано больше 10 000 их клиентов (https://mspsuccess.com/how-a-reddit-thread-revolutionized-pen-testing-for-msps/). vPenTest полностью white-label, Kaseya продаёт его MSP по ~$2 за эндпоинт в мес. как «центр прибыли» (https://webinar.kaseya.com/vonahi/proactively-eliminating-security-gaps). На той же полке сидят:

• Horizon3 NodeZero, программа Vanguard для MSSP с безлимитными тестами (https://horizon3.ai/partners/mssp-msp);
• Pentest-Tools для MSP (https://pentest-tools.com/solutions/for-msps);
• HostedScan, Beagle, ConnectSecure, Fortra (https://beaglesecurity.com/blog/article/top-msp-vulnerability-scanners.html);
• Revelion, ScanLabsAI, Client Posture;
• ручной white-label пентест от Bugcrowd, X Security Group, WhiteRook (https://www.stingrai.io/blog/best-msp-mssp-penetration-testing-companies-2026).

Канал MSP — это экосистема Kaseya и ConnectWise с маркетплейсами и интеграциями в RMM/PSA. Звонками трёх совместителей его не вскрыть. Сегмент не «гипотеза без данных», а насыщенный рынок, где цену задаёт Kaseya.

2. Revelion «£499–1 999 в мес.» — не подтверждено. Capterra и GetApp показывают старт от £99 в мес., есть бесплатная версия (https://www.capterra.com/p/10038705/Revelion/). Нижняя полка white-label ещё дешевле, чем в отчёте.
3. Канал «маркетплейсы Vanta/Drata» закрыт, а не «частично». Vanta работает эксклюзивно с XBOW и включает тест в тариф. Drata отдаёт всем новым клиентам любого тарифа до $4 000 кредитов на AI-пентест Aikido бесплатно, отчёт синхронизируется в Drata (https://www.aikido.dev/blog/drata-and-aikido-audit-ready-pentesting-built-into-your-compliance-workflow). У аналитика этого нет. Покупатель из главной аудитории (стартап, который проходит SOC 2) получает первый тест даром прямо внутри своей платформы комплаенса. Новому поставщику через эти платформы не зайти.
4. «Дешёвые новички за $500–1 500 без следов продаж» — полка занята не только ими. Strix (open source, 71,5 тыс. звёзд, 346 тыс. визитов в мес. по отчёту) продаёт разовый пентест от $1 000 с отчётом под SOC 2 и ISO 27001 (https://strix.ai/pricing). Shannon Lite (AGPL) делает полный white-box-тест примерно за $50 расходов на API Claude (https://www.mintlify.com/KeygraphHQ/shannon/advanced/faq). Значит, запасная форма «$1 000–1 500» упирается в Strix с брендом и аудиторией, а снизу её давят Lovable за $100 и бесплатные тесты от Drata/Vanta.
5. Оговорка Aikido «не нашли high/critical — не платите» описана неточно. Она распространяется только на первый Rightsized-тест с рекомендованным покрытием, на Standard — нет. Зато у Aikido есть Continuous Pentesting за 10 кредитов (~$10) за запуск агента (help.aikido.dev). Этот факт для вердикта важнее: подписка на непрерывный AI-пентест у лидера рынка стоит копейки за прогон.
6. Hacker Analytics «$34K MRR» — сомнительно, не проверено. Страница отдаёт 404. В сниппете одновременно «MRR $34k», «total revenue $210k», «No active subscriptions» и место #3529 в рейтинге TrustMRR. Место и отсутствие подписок с $34K MRR не согласуются. В отчёт как потолок хостингового сканера эту цифру брать нельзя.

Сильнее формы не нашёл

• Проверка CASA Tier 2 для приложений с ограниченными скоупами Google — обязательная ежегодная покупка у инди-разработчиков. Но продавать её могут только авторизованные лаборатории App Defense Alliance (TAC Security, DEKRA, NST Cyber), а TAC уже берёт $540–720 за приложение (https://tacsecurity.com/?p=18721). Без статуса лаборатории вход закрыт, поэтому сильнее эта форма не становится.
• White-label-отчёты для WordPress-агентств: Patchstack уже даёт агентствам $79 в мес. за 25 сайтов (https://docs.patchstack.com/docs/pricing-plans). Свободного места нет.

Платный поиск по формам

Цифры аналитика не пересчитывались.

• White-label для MSP и агентств: не нальётся. Это не поисковая покупка. Остаются звонки и каналы RMM, а их держит Kaseya.
• Разовый AI-пентест $1 000–1 500: не нальётся (CAC $1,7–4,3 тыс. по аналитику). Партнёрский канал закрыт эксклюзивами Vanta/Drata.
• Управляемый пентест $3 500+: не ясно, серая зона, против брендов и бесплатных тестов в платформах комплаенса.
• Vibe-сканеры: не нальётся, payback 19–38 мес. Лидер ниши падает на 18% в месяц.

Итог

Вердикт: нет. Потенциал 3/10. Деньги в категории большие (Intruder, Aikido, Kaseya/Vonahi), но каждая форма, доступная команде, уже занята игроком с дистрибуцией:

• MSP — Kaseya;
• стартапы на SOC 2 — Vanta+XBOW и Drata+Aikido, причём бесплатно;
• vibe-кодеры — Lovable+Aikido за $100;
• разовый тест за $1 000 — Strix.

Технологическое ядро бесплатно (Shannon, Strix). Отличаться можно только брендом, доверием аудитора и страхованием ответственности, а у команды этого нет.

Главный риск: не CPC, а то, что цену и канал контролируют платформы. Платформа комплаенса или платформа разработки встраивает AI-пентест в тариф даром, и самостоятельный поставщик остаётся без покупателя на любой ценовой полке.