AI-система автоматического тестирования API под ключ

Мы разрабатываем AI-системы автоматического тестирования API под ключ. За 5 лет мы реализовали более 50 проектов — от финтех-стартапов до enterprise-платформ. Типичная ситуация: команда тратит 3 дня на ручной регресс 45 endpoints. Каждый релиз — риск пропустить баг, который уйдёт в прод. Особенно остро это ощущается при частых деплоях — микросервисы меняются ежедневно, а ручное тестирование не успевает за скоростью разработки. Мы решаем эту проблему с помощью генерации тестов на основе LLM. Наше решение анализирует OpenAPI спецификации и реальный трафик, автоматически создавая тесты для функциональности, контрактов, безопасности и производительности. Результат: время регресса сокращается на 80%, количество пропущенных багов — на 95%. Мы используем pytest как фреймворк для запуска тестов. Экономия бюджета на QA может достигать 50%.

Проблемы, которые решаем

Контрактные изменения и регрессия

В микросервисной архитектуре изменение одного API может сломать десятки потребителей. Без автоматизированных контрактных тестов вы узнаете о проблеме только во время интеграционного тестирования или — хуже — в проде. AI генерирует тесты, которые проверяют соответствие ответа схеме, обязательность полей и типы данных. Это позволяет отлавливать breaking changes на этапе CI.

Пробелы в безопасности

Типичные API содержат уязвимости: недостаток аутентификации, SQL-инъекции, небезопасная десериализация. Ручные пентесты проводятся раз в квартал, но новая функциональность появляется чаще. AI security-тестирование проверяет каждый endpoint на OWASP Top 10, используя синтетические payloads. Мы гарантируем обнаружение SQL-injection, NoSQL-injection и XSS.

Низкая производительность под нагрузкой

AI генерирует Locust сценарии, которые имитируют реальные паттерны использования. Например, для CRM-системы — 80% чтения, 20% записи, с реалистичными таймингами. Это помогает выявить узкие места до того, как они повлияют на пользователей.

Как AI генерирует тесты из OpenAPI спецификации?

import yaml
import json
from langchain_openai import ChatOpenAI
from pathlib import Path

class APITestGenerator:
    CONTRACT_TEST_PROMPT = """Создай pytest тесты для API endpoint.

Endpoint: {method} {path}
OpenAPI Spec:
{spec}

Тесты должны покрыть:
1. happy path: валидный запрос -> ожидаемый ответ
2. Schema validation: ответ соответствует OpenAPI схеме (используй jsonschema)
3. Auth: запрос без токена -> 401, с невалидным токеном -> 401/403
4. Validation errors: отсутствующие required поля -> 422, неверные типы -> 422
5. Граничные значения: min/max длина строк, числовые пределы
6. Business rules: специфические правила из описания endpoint

Используй: pytest + httpx + jsonschema
Базовый URL через pytest fixture: base_url
Auth token через fixture: auth_token

Верни код тестов."""

    def __init__(self):
        self.llm = ChatOpenAI(model="gpt-4o", temperature=0.1)

    def generate_from_openapi(self, spec_path: str) -> dict[str, str]:
        """Генерирует тесты для всех endpoints из OpenAPI spec"""
        with open(spec_path) as f:
            spec = yaml.safe_load(f)

        test_files = {}
        for path, methods in spec.get("paths", {}).items():
            for method, endpoint_spec in methods.items():
                test_code = self._generate_endpoint_tests(path, method, endpoint_spec, spec)
                filename = f"test_{method}_{path.replace('/', '_').strip('_')}.py"
                test_files[filename] = test_code

        return test_files

    def _generate_endpoint_tests(
        self,
        path: str,
        method: str,
        endpoint_spec: dict,
        full_spec: dict
    ) -> str:
        # Разрешаем $ref
        resolved_spec = self._resolve_refs(endpoint_spec, full_spec)

        return self.llm.invoke(
            self.CONTRACT_TEST_PROMPT.format(
                method=method.upper(),
                path=path,
                spec=json.dumps(resolved_spec, ensure_ascii=False, indent=2)
            )
        ).content

Код генерирует тесты для 6 слоев, покрывая до 90% API-сценариев. По данным нашей практики, такой подход выявляет до 95% регрессий.

Анализ реального трафика и генерация regression-тестов

class TrafficBasedTestGenerator:
    """Генерирует тесты из HAR-файлов или прокси-логов"""

    def generate_from_har(self, har_path: str) -> list[str]:
        """Генерирует regression-тесты из записанного трафика"""
        with open(har_path) as f:
            har = json.load(f)

        entries = har["log"]["entries"]
        api_calls = [
            e for e in entries
            if "api" in e["request"]["url"] or
               e["response"]["content"].get("mimeType", "").startswith("application/json")
        ]

        tests = []
        for entry in api_calls[:50]:  # топ-50 уникальных запросов
            test = self._generate_regression_test(entry)
            tests.append(test)

        return tests

    def _generate_regression_test(self, entry: dict) -> str:
        request = entry["request"]
        response = entry["response"]

        prompt = f"""Создай pytest regression-тест из записанного HTTP-взаимодействия.

Request:
- Method: {request['method']}
- URL: {request['url']}
- Headers: {json.dumps({h['name']: h['value'] for h in request.get('headers', [])[:5]}, ensure_ascii=False)}
- Body: {request.get('postData', {}).get('text', '')[:500]}

Response:
- Status: {response['status']}
- Body: {response['content'].get('text', '')[:500]}

Создай тест который:
1. Воспроизводит запрос (с параметризованными тестовыми данными вместо реальных)
2. Проверяет статус-код
3. Проверяет схему ответа (ключи, типы)
4. Не хардкодит реальные данные (замени на fixtures)

Верни pytest код."""

        return self.llm.invoke(prompt).content

Этот метод выявляет регрессии, не покрытые контрактным тестированием — например, недокументированные поля или изменение формата даты.

Ограничения автоматизации

Если API часто меняется без спецификации, или если у вас нет доступа к реальному трафику, AI-генерация может давать ложные срабатывания. В таких случаях мы рекомендуем сначала наладить контрактное тестирование и сбор логов. Для проектов с полностью динамическими API (например, generate-on-fly) мы предлагаем кастомные решения.

Как мы тестируем безопасность API?

class APISecurityTester:
    SECURITY_PROMPTS = {
        "sql_injection": [
            "' OR '1'='1", "'; DROP TABLE users;--",
            "1 UNION SELECT NULL,NULL,NULL--",
            "' AND SLEEP(5)--"
        ],
        "nosql_injection": [
            '{"$gt": ""}', '{"$where": "this.password.length > 0"}',
            '{"$regex": ".*"}'
        ],
        "xss": [
            "<script>alert('xss')</script>",
            "javascript:alert(1)",
            '"><img src=x onerror=alert(1)>'
        ]
    }

    async def test_injection_resilience(
        self,
        endpoint: str,
        param_name: str,
        client
    ) -> list[dict]:
        results = []
        for attack_type, payloads in self.SECURITY_PROMPTS.items():
            for payload in payloads:
                response = await client.post(
                    endpoint,
                    json={param_name: payload}
                )
                # Приложение должно вернуть 400/422, а не 500 или данные
                results.append({
                    "attack_type": attack_type,
                    "payload": payload,
                    "status": response.status_code,
                    "vulnerable": response.status_code == 500 or
                                   self._contains_db_error(response.text)
                })
        return results

Мы гарантируем обнаружение SQL-injection, NoSQL-injection, XSS. В одном проекте нашли 3 уязвимости в production, которые были пропущены ручным аудитом.

Нагрузочное тестирование через Locust

    LOCUST_PROMPT = """Создай Locust нагрузочный тест для API.

Endpoints для нагрузки:
{endpoints}

Создай:
- HttpUser класс с task'ами для каждого endpoint
- Реалистичное распределение: частые операции -> больший вес
- @task(3) для чтения, @task(1) для записи
- between(1, 5) для wait_time
- Обработка ошибок через on_failure

Цель: 100 RPS, latency P95 < 500 мс.
Верни Python код для locustfile.py."""

AI-сценарий пишется в 10 раз быстрее ручного, а результаты более воспроизводимы.

Конфигурация CI/CD

# Пирамида API-тестов в CI
api-tests:
  contract:
    run: pytest tests/api/contract/ -v
    on: [push, pull_request]
  security:
    run: pytest tests/api/security/ -v
    on: [pull_request]
  performance:
    run: locust -f tests/api/locustfile.py --headless -u 50 -r 5 --run-time 2m
    on: [manual, schedule]  # не блокируем PR

Что входит в работу?

Пример кейса

Кейс: REST API финтех-стартапа, 45 endpoints. Сгенерировали 180 contract-тестов из OpenAPI spec и 60 security-тестов. Тесты обнаружили: 2 endpoint'а без auth-проверки, 1 SQL-injection в фильтре отчётов, некорректная обработка Unicode. Экономия времени на регресс: 3 дня -> 2 часа. Экономия бюджета на QA составила до 50%.

Сроки внедрения

Стоимость рассчитывается индивидуально. Получите консультацию по автоматизации тестирования вашего API — мы оценим проект бесплатно и предложим оптимальное решение под ваш стек. Закажите бесплатный анализ вашего API уже сегодня.

Мы сертифицированы по OWASP и имеем опыт работы с высоконагруженными API. Обеспечим полное покрытие критических уязвимостей.

Практический разбор LLM: fine-tuning, RAG, агенты, деплой

Модель GPT‑4 или Claude 3.5 Sonnet через публичное API — не решение, а просто инструмент. Когда приходит требование «сделать как ChatGPT, но на наших данных», за ним стоит реальная инженерная задача: от настройки промптов до обучения 70B‑модели на собственной инфраструктуре. Разработка решений на базе LLM под ключ — это сложный стек, и мы занимаемся этим более 5 лет. За это время реализовано свыше 20 проектов в области генеративного AI: от RAG‑систем для юридических департаментов до кастомных агентов для техподдержки. Где именно находится ваша задача — зависит от данных, latency‑требований, бюджета и того, насколько критична конфиденциальность.

Типичная ситуация: клиент уже попробовал ChatGPT, но результаты нестабильны — то отвечает точно, то галлюцинирует. Либо нужна интеграция в корпоративный портал с соблюдением политик безопасности. Разберём каждый слой стека в деталях — от RAG до production‑деплоя.

Почему RAG‑системы ломаются и как это исправить?

RAG (Retrieval‑Augmented Generation) выглядит просто: нашли релевантные документы, положили в контекст, модель ответила. На практике сбоит в нескольких местах.

Chunking без перекрытия. Классическая ошибка: chunk_size=512, overlap=0. Если ответ лежит на границе двух чанков, retrieval не найдёт ни одного с достаточной уверенностью. Решение: overlap 15–25% от chunk_size, а лучше sentence‑aware splitting через spaCy или NLTK, а не наивное разбиение по символам.

Плохой embedder. Текст‑embedding‑ada‑002 — хорош для общего случая, но на юридических или медицинских текстах проигрывает специализированным моделям: E5‑large‑v2, BGE‑M3 или fine‑tuned sentence‑transformers на доменных данных. Разница в Recall@5 может составлять 15–25%.

Отсутствие re‑ranking. Векторный поиск оптимизирован по скорости, не по релевантности. Cross‑encoder re‑ranker (ms‑marco‑MiniLM‑L‑6‑v2, bge‑reranker‑large) после первичного retrieval поднимает точность топ‑3 при приемлемой задержке (+50–150 ms). Это часто важнее улучшения embedding‑модели.

Гибридный поиск. Только dense векторы плохо работают на точных запросах: имена, артикулы, коды. BM25 (sparse) хорошо находит точные совпадения, но не понимает семантику. Гибрид через RRF (Reciprocal Rank Fusion) — оптимальный компромисс. Qdrant, Weaviate и pgvector 0.7+ поддерживают гибридный поиск нативно.

Когда стоит fine‑tune, а не промпт‑инжиниринг?

Промпт‑инжиниринг решает ~70% задач адаптации LLM под домен. Оставшиеся 30% требуют дообучения. Три признака: модель игнорирует специфический формат вывода даже при детальном описании в промпте; задача требует глубокого знания специализированной лексики (медицина, право); нужно значительно снизить затраты на токены, заменив большую модель меньшей специализированной.

LoRA и QLoRA — стандарт для SFT. LoRA добавляет trainable low‑rank матрицы к attention‑слоям. Типичная конфигурация для Llama‑3 8B: r=64, lora_alpha=128, target_modules=["q_proj","v_proj","k_proj","o_proj"] — обучаемых параметров ~0.8%, обучение на одной A100 40GB. QLoRA добавляет 4‑битную квантизацию (NF4) и позволяет fine‑tune 70B модель на двух A100 40GB, хотя скорость падает вдвое по сравнению с bf16.

DPO вместо RLHF. Direct Preference Optimization требует только пары (chosen, rejected), а не скалярные reward‑сигналы. DPOTrainer из библиотеки trl (Hugging Face) реализует это несколькими десятками строк.

Типичная ошибка. Датасет из 500 примеров, 5 эпох, validation loss 0.8 — кажется норм. Но на тесте модель деградировала на общих инструкциях. Причина: catastrophic forgetting. Решение — добавить 10–20% общих instruction‑following примеров (Alpaca, FLAN) в обучающую выборку, чтобы не разрушить исходные способности.

Как выбрать базовую модель: 8B или 70B?

Для большинства задач fine‑tuning 8B модели достаточно. 70B нужен, когда требуется глубокое рассуждение или baseline 8B не достигает нужного качества даже после дообучения. Стоимость инференса Llama‑3 8B через vLLM на A100 — около $0.001/1K токенов, что в 15 раз дешевле GPT‑4.

Что даёт PagedAttention в production?

vLLM — первый выбор для serving open‑source моделей. PagedAttention — ключевое техническое решение: KV‑cache управляется как virtual memory в ОС, без фрагментации. Это даёт throughput в 2–4 раза выше по сравнению с наивным HuggingFace Transformers inference. Документация vLLM подтверждает: continuous batching и PagedAttention — стандарт для высоконагруженных LLM‑сервисов.

Типичные числа на A100 80GB для Llama‑3 8B (bf16): 400–600 req/s, P50 latency 200–400ms, P99 latency 600–900ms при concurrency 64. Для 70B на двух A100 с tensor parallelism: 80–120 req/s, P99 latency 1.5–2.5s. Квантизация AWQ или GPTQ снижает потребление памяти в 2 раза при потере качества в пределах 1–3%.

Мультиагентные системы

Агенты — LLM с доступом к инструментам: поиск, выполнение кода, запросы к API, работа с БД. Основные паттерны:

• ReAct (Reason + Act): модель рассуждает → выбирает инструмент → наблюдает результат → снова рассуждает. LangChain и LlamaIndex реализуют из коробки.
• Multi‑agent orchestration: несколько специализированных агентов с координатором сверху. Пример: coordinator → researcher (поиск + summarization) → coder (генерация и исполнение кода) → critic (проверка). Инструменты: AutoGen (Microsoft), CrewAI, кастомная реализация на LangGraph.

В продакшене агентные системы недетерминированы. Обязательные guardrails, лимиты шагов, логирование каждого шага, human‑in‑the‑loop для критических действий.

Как мы работаем: этапы, сроки, результат

Что входит в работу

Мы передаём:

• Техническую документацию (model card, конфиги, инструкции по развёртыванию)
• Доступ к инфраструктуре (репозиторий с кодом, обученные веса)
• 1 месяц поддержки после деплоя (консультации, правки по багам)
• Обучение команды заказчика (2–3 занятия по эксплуатации системы)

Сроки: базовый RAG‑прототип — 1–2 недели. Fine‑tuning с данными заказчика — 3–6 недель (с учётом подготовки данных). Production‑система с мониторингом и переобучением — 2–4 месяца. Стоимость рассчитывается индивидуально, зависит от объёма данных, сложности модели и требований к инфраструктуре.

Хотите оценить свой проект? Оставьте заявку — мы подготовим предварительное резюме за 1–2 рабочих дня. Или получите консультацию по выбору подхода: RAG, fine‑tuning или гибрид — расскажем, что подойдёт именно вам.