AI 写代码这事儿，没你想的那么简单

一个靠 vibe coding 做出来的产品，上线六个月就卖给了 Wix，价格八千万美元。看到这种新闻，很容易得出结论：AI 编程工具就是香。但实际情况要复杂得多，也有趣得多。

AI 工具在一类工作上是真快，在另一类工作上是真慢。真正搞明白这个区别的团队，才能跑得又快，又不会悄悄欠下一屁股技术债。

感觉和现实的差距

METR 做了一个研究，找来有经验的开发者，让他们处理自己代码库里真实存在的问题，一半用 AI 辅助，一半不用。

实验开始前，参与者预估 AI 能让自己快 24%。干完之后，他们说感觉快 20%。但实际测出来——慢了 19%。

这个感知和现实的差距，才是 AI 编程研究里最重要的发现。AI 让写代码变快了，但让 review 代码变慢了。人类特别不擅长注意到 review 阶段增加的成本，因为这感觉就像"正常工作"。你省了 15 分钟搭框架，看着像赚了。但花了 25 分钟调试 AI"差不多对了"的输出，不觉得是亏了——觉得这就是自己的活儿。

哪里是真快

研究结论很清晰：AI 真正能提速的场景只有一个——在陌生领域写新代码。

GitHub 的对照实验显示，开发者从零搭一个 web server，用 Copilot 快了 55%。多家公司的实地测试发现，任务完成量多了 26%，初级开发者在短期任务上的产出增加了 27% 到 39%。麦肯锡的实验室测试表明，写文档和全新代码的时间大概能省一半。

这就是 MVP 的典型场景。白纸项目、正在学的技术栈、复制粘贴的模板代码、几句话就能描述清楚的功能。在这类工作上，AI 工具确实跟宣传的一样好用。

关键是要认识到，这不是软件开发的全部。

哪里会变慢

METR 测试里速度变慢的那个场景，恰好就是最不应该意外的：资深开发者在维护自己写了多年的代码库。模型对系统一知半解，却能吐出听起来很合理的代码，开发者得花时间去判断这东西到底对不对。这个判断成本，比直接自己写一个函数还高。

放大到团队层面，这就是出问题的地方。

一家创业公司猛用 AI 编程赶 MVP，过了 product-market fit 这关开始增长，三个月后才发现：代码"能跑"是因为行级安全检查被注释掉了、管理后台任何登录用户都能进、API key 直接打包到了前端代码里。AI 写得快。AI 也顺手挖了个没人发现的安全坑。

Faros AI 的研究规模更大，追踪了一万多名真实团队里的开发者。结果发现，在 20% 到 40% 的场景里，AI 辅助反而让团队变慢了——特别是在代码库超过十万行、上下文窗口装不下整个项目的时候。

这就是 brownfield 问题，大多数已有项目的团队大多数时间都在这种环境里。

没人提的安全账单

每周都有新故事：某创业公司的 AI 生成代码泄露了用户数据，AI 辅助部署把数据库端口敞着开放了，prompt injection 进了生产系统。这些不是偏门的极端案例。把一个专门优化"让代码看起来合理"的工具对准安全敏感的工作，又没有安全专家来 review 结果，这就是可预见的结果。

模式很固定。AI 编程工具是用公开代码训练的，里面包含大量已知漏洞、配置错误的权限、硬编码的密钥。你让它写一个用户认证系统或者支付集成，它给你的往往是一个看起来像那么回事的版本——至于安不安全，那就不一定了。

对快速前进的创业公司来说，这是最要命的风险。你不只是在搭 MVP，你还在建立信誉和合规边界。上线第一年就数据泄露，这不是技术问题，这是公司完蛋的问题。

实用框架

研究指向一个清晰的操作模式：

在新代码上猛用 AI。 新项目、原型、模板、陌生的技术栈、边界清楚的功能，这些地方提速是真的、大的。这部分是 MVP 上线的主力，也是这些工具值回订阅费的地方。

在老代码上挑着用 AI。 在你熟悉的代码库里，或者碰到认证、支付、用户数据相关的东西，把 AI 输出当第一稿，后面必须做安全 review。你给 review 留的时间，才是这类工作上工具的真正成本。别让"感觉变快了"的错觉让你跳过这步。

小步提交，带测试。 AI 输出不稳定的问题，在大而复杂的改动上最明显。小步增量提交，加上真实的测试覆盖，才能 catch 那些 review 阶段没发现、上线之后才炸的隐蔽错误。这本来也是好习惯，但有 AI 在循环里就变成了必须。

上线前把安全加固做到位。 把行级安全检查打开。把客户端代码里的密钥清干净。别让 AI agent 直连生产数据库。这些不是什么高深的安全措施，这是任何处理真实用户数据的系统的基础线。AI 编程不会改变这条线，只会让你更容易漏掉它。

总结

AI 编程工具是真的有用。但它也带来真实的、可预见的成本，这些成本在宣传材料里几乎从不出现。

跑得最快的团队，不是那种所有事情都用 AI 的团队，而是那种战略性地用 AI——只用在提速是真实的地方，同时保护好那些正确性比速度更重要的部分。

如果你在 Vibe Hosting 上跑 MVP，用 AI 在那些可以改的地方快速推进。在那些必须对的地方谨慎使用。分不清是哪种？那可能就是你下一个要搞清楚的问题。