Поставщики ИИ и стоимость
Системный ИИ или собственный поставщик команды, работа без передачи кода за периметр и контроль расходов.
Все функции ИИ — AI Native SAST, проверка достижимости, проверка секретов и исправлений, AI DAST, AI Pentest и генерация правил — работают через ИИ той команды, которой принадлежит работа.
Системный ИИ и ИИ команды
Поставщика ИИ можно настроить в двух местах:
| Поставщик | Кто настраивает |
|---|---|
| Системный ИИ | Настраивается один раз на всю установку. Это делает администратор системы в разделе «Настройки системы» → «Общие сервисы». Им пользуются все команды, которые не выбрали другой вариант. Ключ и адрес системного ИИ командам не видны. |
| Собственный поставщик команды | Настраивает администратор команды на вкладке «ИИ» со своим ключом. Пользуется им только эта команда. |
Какой из них использовать, администратор команды выбирает в разделе Команды → ИИ → Поставщик ИИ, в поле Использовать:
| Вариант | Что происходит |
|---|---|
| Системный ИИ, настроенный администратором системы | Команда работает через системный ИИ. Этот вариант стоит у новой команды по умолчанию. Если системный ИИ не настроен, ИИ у команды нет. |
| Собственного поставщика команды | Команда работает через своего поставщика, свою модель и свой ключ. Системный ИИ для неё не используется никогда, даже если собственный поставщик не отвечает. |
| Без ИИ: отключить функции ИИ для команды | ИИ для команды выключен. Сканирования проходят без этапов с ИИ. |
Остальные участники видят выбранный вариант, но изменить его не могут. Кнопка Проверить подключение отправляет один короткий запрос через сохранённые настройки и сообщает, ответил ли ИИ и через кого: через собственного поставщика команды или через системный ИИ. Сканирование до конца работает с теми настройками ИИ, с которыми попало в очередь, поэтому изменения касаются только новых сканирований.
Поля каждого поставщика описаны в разделе Настройка API-ключей для внешних систем, системный ИИ — в разделе Настройки системы.
Выбор поставщика
| Поставщик | Что подойдёт |
|---|---|
| Совместимый с OpenAI | Любой сервис с API в формате OpenAI: облачный OpenAI, Azure OpenAI, совместимый шлюз или модель в вашей сети, запущенная через Ollama, LM Studio и аналоги. |
| Vertex AI / Anthropic | Модели Claude в Google Cloud Vertex AI. |
Как не выпускать код за периметр
Для статического анализа это самый важный выбор: AI Native SAST передаёт модели исходный код.
Если модель облачная, исходный код уходит поставщику. Для закрытых и проприетарных проектов укажите в поле «Адрес API» поставщика, совместимого с OpenAI, модель в вашей инфраструктуре: платформа может работать полностью офлайн.
Достаточно указать локальный адрес API, остальное работает так же. Адрес должен быть на HTTPS, отключить проверку TLS нельзя. Если сертификат модели выпущен внутренним удостоверяющим центром или трафик идёт через прокси, вскрывающий TLS, сделайте эту модель системным ИИ: поле Файл сертификата УЦ есть только у него. Администратор системы кладёт PEM-файл удостоверяющего центра в /opt/scansuite/key на сервере и указывает путь внутри /key, например /key/internal-ca.pem. Для облачного OpenAI укажите https://api.openai.com/v1 и ключ API.
Выбор модели
Модель каждый раз генерирует ответ заново, поэтому результаты запусков немного различаются. Крупные модели стабильнее. Чтобы уязвимости воспроизводились от запуска к запуску, берите локальные модели не меньше чем на 30 млрд параметров.
Стоимость
ScanSuite считает расход токенов по командам, в том числе через собственного поставщика команды. Месячных лимитов два:
- Бюджет токенов на месяц — его задаёт администратор команды на вкладке ИИ;
- Токенов ИИ в месяц — его задаёт для команды администратор системы среди лимитов команды в настройках системы.
Действует меньший из них. Когда токены на месяц закончились, функции ИИ приостанавливаются, а этапы с ИИ сообщают, что ИИ недоступен. Так будет до следующего месяца или пока лимит не поднимут.
Чтобы видеть расходы в деньгах, администратор системы указывает цены моделей в карточке Цены LLM в разделе «Настройки системы» → «Общие сервисы»: сколько долларов США стоит миллион токенов prompt и миллион токенов completion для каждой модели. После этого страница «Сканирования», страница сканирования, страницы продуктов и панель Топ-10 целей по расходу токенов LLM показывают стоимость рядом с числом токенов. Если изменить цену, прошлые сканирования пересчитаются, а число токенов в них останется прежним.
Стоимость разных функций отличается в разы:
| Функция | Во что обходится |
|---|---|
| AI Native SAST | Один вызов модели на каждый файл в области сканирования. Если включена проверка достижимости, добавляется цикл работы агента на каждую уязвимость. Расход проще всего регулировать областью сканирования. |
| Достижимость зависимостей | Четыре ступени фильтрации нужны именно потому, что проверять все зависимости подряд слишком дорого. Подробнее в соответствующем разделе. |
| Проверка секретов | Дёшево. Фильтры по путям, детерминированные правила и кэш значений отсеивают большинство срабатываний ещё до обращения к модели. |
| AI DAST / AI Pentest | Работают в жёстких рамках: по числу циклов, числу попыток на шаг и времени. |
Для этого на странице «Статический анализ кода» есть режимы «Инкрементальное сканирование», «Выбранная область» и «Отслеживание изменений». С ними стоимость повторной проверки зависит от объёма изменений, а не от размера репозитория.
Язык ответов
На каком языке ИИ описывает уязвимости и пишет заметки к эксплойтам, задаёт параметр Язык текстов, которые пишет ИИ в карточке Как ИИ обрабатывает уязвимости на вкладке ИИ команды. Менять его могут администраторы и операторы команды.
Если поставщик недоступен
Перед началом каждого сканирования с ИИ платформа проверяет, отвечает ли поставщик команды. Если он молчит, сканирование завершится с ошибкой, а не вернёт молча пустой результат. Текст ошибки поставщика попадает в журнал сканирования. Исключение — AI DAST: он продолжает работу с ограниченным набором проверок, которым модель не нужна.
Проверено: 2026-09-30