AI编程现状
开发者们正在逐渐接受氛围编程（vibe coding）和AI辅助编程。据统计，四分之一的Y Combinator（简称YC）创始人表示其95%的代码库由AI生成。然而，AI编程存在重大安全隐患，不仅限于氛围调试（vibe debugging）问题，AI生成的代码还带来了严重的安全威胁。
安全事件案例
最近，一位X平台用户使用Cursor（AI编程工具）构建SaaS（Software as a Service）应用时遭遇黑客攻击。由于缺乏必要的技术知识，该用户在解决安全问题时遇到了困难。黑客通过创建"please_dont_vibe_code.ai"域名向开发者传达警示信息。
专家观点
计算机科学家Santiago Valdarrama指出，AI模型生成的代码存在大量安全漏洞。德勤（Deloitte）生成式AI工程师Amlan Panigrahi表示，这对生产环境中的组织构成安全威胁。Fraud.net高级DevSecOps工程师Chetan Gulati强调，生成式AI容易受到提示注入攻击，且经常使用过时的第三方库。
研究发现
应用安全平台Apiiro的报告显示，自2023年第二季度以来：
- 包含个人身份信息和支付数据的代码库增加3倍
- 缺乏授权和输入验证的API增加10倍
- AI生成的代码漏洞通常比人工编写的更为严重
实际风险提示
多位安全研究人员发现，AI代码助手可能导致：
- 公司机密泄露到外部服务器
- 访问受限文件内容
- 删除系统文件或更改系统设置
- 窃取加密货币钱包
- 覆盖重要配置文件
因此，开发者在使用AI进行代码生成时，需要具备基本的安全知识，无论是完全依赖还是部分使用AI编程工具。