Deep Research: fan-out субагентов + verification ladder

Плейбук для «сделай дип-рессерч, найди новые абузы/цели для авторега». Проверен на практике: 6 субагентов → ~40 кандидатов → верификация → отчёт + черновик поста.

Фаза 1 — Fan-out (delegate_task, все параллельно)

Один субагент на источник. В context каждого: список УЖЕ ИЗВЕСТНЫХ сервисов (исключать), метод доступа, требование пруфов (URL/HTTP-статусы), ответ на русском.

#	Источник	Метод
1	nodeloc.com + v2ex	Discourse .json БЕЗ куки: `nodeloc.com/latest.json`, `/top.json?period=weekly`, v2ex `/api/topics/hot.json`. CN-ключи: 福利/免费/白嫖/薅羊毛. Перспективные треды читать целиком (тела топиков)
2	GitHub search API	`api.github.com/search/repositories?q=new-api+free+created:>DATE`, `q=ai+relay+welfare`, `q=autoreg`. Без токена 10 req/мин. README доменов через raw.githubusercontent.com
3	FMHY + paste-ленты	fmhy.net реальные страницы: `/ai` и `/developer-tools` (НЕ /ai-tools — 404), парсить через sitemap.xml. paster.sh/archive и rentry.co/discover — мёртвые источники (спам/одиночная паста)
4	linux.do	только через `r.jina.ai/<url>` (latest.json, c/welfare/34.json, tag/api, tag/中转站), паузы 3-5с
5	Локальная база	`tmp/forum_parser/output/findings.jsonl` (6000+ записей): python построчно, фильтр по ключам, группировка по домену, сортировка по scraped_at. Жирный источник — канал tg-jebusblack
6	Reddit + web	web_search по 'free ai api credits MONTH YEAR'; reddit-треды через `api.pullpush.io/reddit/search/submission/?ids=<id>`

Фаза 2 — Verification ladder (сам, execute_code/terminal)

НЕ верить отчётам субагентов без своей проверки. Для каждого кандидата, одним батч-скриптом (urllib, ssl unverified, timeout 12-25с):

root GET → 200 = сайт жив; CF-403 «Just a moment» = жив, но за Cloudflare (не мёртв!)
GET /v1/models без ключа → 200 = модели публичны; 401 JSON = API живой и настоящий (хороший знак для реверса)
POST /v1/chat/completions без ключа ({"model":"<из шага 2>","messages":[{"role":"user","content":"say KEYLESS_OK"}],"max_tokens":20}) → 200 = TIER 0 keyless. models-200 НЕ означает keyless chat — типичная картина: models открыты, chat 401 (нужен токен/рега). Всегда пробовать chat до объявления «бесплатно без ключа».
signup-probe (POST на /api/account/signup или /api/auth/register с test-email): первый ответ 403 «That request didn't come from this site» = ОТСУТСТВУЮТ same-origin заголовки, а не блок. Повторить с Origin: https://<host>, Referer: https://<host>/signup, Sec-Fetch-Site: same-origin, Sec-Fetch-Mode: cors + cookie-jar (сначала GET страницы signup). Реальный статус появится после этого (напр. 503 «Accounts aren't set up» = фича не включена на деплое, мониторить).
Нестандартные пути API: ошибка 404 часто содержит СПИСОК правильных роутов в JSON (classifier.dev вернул «POST /v1/classify, GET /{labels}/{text}») — читать тело ошибки, а не только код.

Результаты сохранять в JSON (name/root/api) + REPORT.md с тирами.

Фаза 3 — Тиры и deliverable

TIER 0: keyless chat 200 — сразу в allkeys_gw/ротацию.
TIER 1: live signup + кредиты — очередь на E2E-авторег (реверс SPA: grep бандла на clerk/auth0/turnstile/recaptcha/supabase маркеры до выбора метода реги).
TIER 2: new-api панели (401 JSON) — волна GH-OAuth/reg-фарма по стандартному regfarm-пайплайну.
Финал: отчёт на диск + черновик поста в чат Влада (в канал ТОЛЬКО после явного «в канал» — мандат AlStack).

Мета-источники (репозитории-навигаторы, форкать/мониторить)

wynx1123/ai-welfare-hub — 44 домена + авто-探活 liveness-check
minshurui/ai-api-gongyi-nav — 45 доменов, 21实测可用
Danjack85/xusuo-switch — GH Actions каждые 3ч пробивает /api/status + /api/pricing всех станций (паттерн для нашего cron)
nejib1/Free-LLM (free-llm.com) — 45 провайдеров, daily auto-sync коммитов — подписать cron на diff
Folkbench/folkbench — бенчмарк+switcher relay-панелей
Серийные авторег-фермеры на GitHub (профили с 3+ autoreg-репо за месяц) — мониторить новые репо как готовые реверсы протоколов.

Pitfalls

Субагент пишет «сервис раздаёт X» — это заявление с форума, НЕ факт: половина «раздач» уже закрыта/лимитирована (рега «временно закрыта», купоны на 1000 слотов). Верифицировать root+api до включения в отчёт.
Discourse-треды с hide-блоками («скрыто лайком/trust-уровнем») — контент недоступен без аккаунта TL1+; помечать в отчёте как «нужен акк nodeloc», не выдумывать содержимое.
Один signup-тест НЕ маркировать номер/email как использованный до реальной реги — ложная метка сжигает ресурс (см. 2no-паттерн REUSE-FIRST).
SPA-сайты (Next.js/Vite) при grep стартовой HTML на auth-маркеры часто пусты — маркеры (clerk/turnstile) лежат в JS-бандлах, искать по ссылкам /assets/*.js.

6.7 KiB Raw Blame History Unescape Escape