AI 可以编写和审查代码——但风险仍由人类承担

Anthropic 推出的 Claude Code Security 标志着 AI 辅助软件开发与现代网络安全方法快速演进之间的一个决定性交汇点。虽然这一新的 Claude 功能可以识别 AI 生成代码中的漏洞，但这同时也创造了一个集信任与风险于一体的单点，因此仍需专业人员对这些发现进行评估，并确定适当的修复路径。咨询公司 Acceligence 的首席执行官 Justin Greis 对此表示支持，他在接受 CSO Online 采访时指出：“对于那些盲目依赖任何代码扫描工具（无论是 AI 还是其他工具）来取代良好安全实践和安全编码基础的人来说，这是一个警示信号：千万不要外包那些保护你所开发产品或服务价值主张的核心专业能力。”

从这个角度来看，该模型与传统的 SAST 工具并无本质区别。虽然它的推理能力更强，但在风险敏感的用例中，仍需人工参与来解读、验证并安全地修复它所发现的问题。

企业面临的威胁并非来自 AI 本身的能力，而是来自软件开发生命周期中缺乏监管的 AI 自主行为和低效的监督。当 AI 同时负责生成和评估代码时，严谨且精准的治理就成了关键的控制手段。

“开发者”定义的扩展

AI 降低了创建应用程序和软件的门槛。但是，仅仅因为利用 AI 可以快速完成某项工作，并不意味着你采用了最安全或最稳健的方式，也不代表该项目已经达到了用户可用的标准。“氛围编程”（vibe coding）的全部前提是进入“心流状态”，而将安全等企业级开发规范留到以后处理。

如今的“开发者”可能是：

• 使用 AI 加速编码任务的传统工程师
• 通过提示词进行功能原型的产品经理
• 利用 AI 自动化脚本的数据分析师
• 利用 AI 生成测试用例的 QA 工程师

从企业安全角度来看，谁编写代码并不重要，重要的是代码进入生产环境后的影响。从合规和风险的角度来看，如果个人与 AI 的交互导致代码在没有经过适当的、针对公司特定安全审查的情况下进入软件开发生命周期（SDLC），就会引入组织风险——这种风险必须被理解、衡量并加以缓解。

为什么人类判断依然至关重要

随着越来越多的人具备了生成可能影响生产环境或敏感代码库的能力，企业的风险状况也在扩大。治理必须随之演进，在实现 AI 驱动的大规模开发的同时，确保保护企业所需的控制措施依然稳固有效。

AI 可以相当可靠地生成代码并标记潜在漏洞。但它 无法 验证这些代码在你的架构、数据流、身份模型、合规义务或风险承受能力背景下是否合适，而这些正是影响任何安全计划效力的基础情报。此外，在 SDLC 中实施 Claude Code 是一回事，但像 BaxBench 这样的工具通过海量数据分析表明，不同的模型（例如 Opus 与 Sonnet 4.5 与 Sonnet 3）在安全性和准确性方面的输出存在差异，这会导致公司在追求可运行、安全的代码时，最终在实际使用成本上产生巨大差距。

安全的软件不仅仅是能通过扫描的代码。它必须遵循良好、安全的模式，并与系统设计、业务意图和企业政策无缝衔接。这需要判断力。当开发者过度依赖 AI 来生成甚至审查代码时，他们对代码库的理解就会面临退化的真实风险。如果工程师无法完全解释一段代码为何有效或为何安全，那么组织就已经失去了一层控制。

验证不等于检测。问责不等于自动化。AI 可以提供辅助，但不能承担责任（且迄今为止没有任何法律免除人类对 AI 违规行为所应承担的后果）。

人工参与的监督并非过时的概念。在 AI 驱动的开发环境中，它是确保进入软件开发生命周期的代码经过审慎审查、理解和批准的主要保障。如果没有这一层判断，速度就意味着暴露。

教育必须是安全采用 AI 的基石

在这种背景下，安全编码培训已从“锦上添花”转变为核心的企业控制手段。“开发者”将从操作者演变为编排者，教育重点也将从开发安全代码转向评估 AI 生成代码的安全性。

验证 AI 生成代码、预测提示词注入等新兴 AI 漏洞类别，以及理解 AI 模式如何与你的架构交互，这些所需的技能无法通过零散的合规模块来习得。它们必须是持续的、实用的、集成到现有工作流中的，并且能够针对实际风险结果进行衡量。

AI 软件治理：我们缺失的控制层

许多安全项目仍将应用安全视为下游职能。在人工智能驱动的环境中，这种模式在降低风险方面的作用已大不如前。现在需要的是 AI 软件治理：一个真正面向 AI 驱动软件开发生命周期的企业级控制平面。这一准则贯穿 AI 驱动的软件开发全生命周期，并对代码的创建、审查和审批建立起结构化的监管机制。

其中包括：

• 各团队 AI 工具使用情况的可见性
• SDLC 中 AI 生成代码的清晰归属
• 代码变更与风险信号及合规要求的关联
• 在开发者工作流中强制执行安全编码标准
• 持续的技能提升与可衡量的安全编码能力
• 代码上线前可证明的安全风险降低

治理是连接检测与决策的桥梁，确保生产力的提升不会以牺牲问责制为代价。

AI 将持续改变软件构建的方式，放弃它既不现实也不可取。毕竟，它带来的生产力和创新收益实在太显著了。然而，若要安全地挖掘其价值，就需要严谨的监管和有意识的人工验证，而这种基础设施同样不容仓促行事或被忽视。