从一团乱麻到心里有数

还记得 AI 辅助编程刚出来那会儿吗？那叫一个乱。每周都有新工具冒出来，吵来吵去，谁也说不清到底怎么用才对。在技术圈待久了就知道，这种不确定性最让人焦虑——焦虑了就不想干活。

好消息是：我们已经跨过了一道坎。从 ChatGPT 出来到现在大概 15 个月，整个行业终于开始对 AI 驱动的开发有个共同的认识了。之前那些"不知道自己不知道"的东西，现在变成了"知道自己不知道"。

这听着好像不算什么进步，但相信我——确实是进步。知道自己不懂什么，就能做计划了。能规划系统了。能招到对口的人了。混乱正在慢慢变成秩序，而秩序正是我们认真搞安全的基础。

没人说出口的组织地震

说技术之前，先聊聊最明显但最少人提的问题：AI 正在逼着公司重新思考工程团队怎么搭。

管理幅度、小组规模、站会怎么开、冲刺计划怎么排。这些软件工程的"金科玉律"现在全被质疑、被挑战，很多直接被抛弃了。这不光是效率指标的事——是根本上的社会变革。

现实很残酷，这个转型过程中肯定会有人赢有人输。有些岗位变得更值钱了，有些则要被淘汰。经济学家管这叫"创造性破坏"，但真正被影响的人可不会觉得这是什么创造性的东西。

如果你是带队的人——说真的，谁不是呢——就得用心去理解员工的感受。技术问题总会解决，但处理人这一块需要真正的用心。

开发团队里真正在变的东西

说点具体的。现在真实的开发环境里，什么在变：

速度已经失控了

PR 数量暴涨。以前那些靠感觉写的边项目已经过时了——现在 AI 编程助手直接在关键应用里提交功能代码。不管你用的是 Claude Code 这样的本地工具还是云端部署的智能体，和传统开发比起来，速度差距都大得惊人。

这直接给安全工具带来了压力。传统扫描方法根本不是为这种速度设计的。

代码审查已经形同虚设

这是个没人想承认的痛苦事实：现在的代码审查根本跟不上 AI 驱动的开发速度。你在两个烂选项之间卡住了：

• 放飞模式：快速上线，以后再处理安全问题（这会让高级工程师在加班时崩溃）
• 全部审查：花大量时间审查 AI 生成的代码（同样让高级工程师崩溃）

更深层的问题在于，PR 已经成了安全治理最糟糕的起点。代码到了审查阶段，要做有意义的干预已经太晚了。

AI 实验室开始认真对待安全了

那些制造速度问题的 AI 公司现在也在主动提供解决方案。他们已经从"快速行动打破常规"转向承认安全问题了——有些情况下还提出了修复方案。

这是出于善意吗？可能不是。但无所谓，对话已经改变了，安全团队现在在 AI 工具决策中有了一席之地。

文档工作变了味

PRD 的实践也在动荡。有些团队说 AI 已经完全取代了传统文档，另一些则说因为 AI 生成，所有东西现在都存在 .md 文件里了。

现实其实很复杂。当消费者是另一个 AI 智能体时，AI 生成的文档确实很好用——它需要的是"告知性指令"。但当人类需要做决策时，"说服性写作"仍然需要人的参与。AI 生成的文档看起来很有说服力，但往往很空洞。

如果 PRD 的目的是告诉智能体要构建什么，AI 可能完全取代它。如果 PRD 的目的是帮助人类决定构建什么，它就比以往任何时候都更重要。

这对安全策略意味着什么

影响很大，不同角色感受不同：

安全团队

你的工具必须能跟上速度。如果你的安全检查给 AI 加速开发增加了阻力，它们就会被绕过。未来属于能无缝融入智能体工作流程的安全工具——不是那些在每个环节都要求人工审核的工具。

开发者

你需要了解 AI 编程助手实际在做什么。盲目信任 AI 生成的代码是安全灾难的配方。但完全怀疑又会失去意义。找到平衡点。

创业者和创始人

你的安全姿态需要比以往更快地演进。攻击面在变化，但防御工具也在变化。当部署速度增加时，域名安全、DNS 保护和 SSL 管理变得更加关键。

前面的路怎么走

我们不再处于"搞清楚 AI 能做什么"的阶段了。现在的问题是实践性的：在这个新世界里，我们怎么安全地构建？

正在形成的共识不是关于具体工具或供应商——而是认识到安全必须在开发过程的上游进行。安全不能依赖代码审查。它必须在设计层面落地，嵌入生成代码的 AI 系统本身。

在 NameOcean，我们一直从基础设施的角度思考这个问题。当你在部署能够修改 DNS 记录、管理域名或配置 SSL 证书的 AI 智能体时，安全影响会成倍增加。你的域名注册商不再只是个数据库——它是一个 API 端点，AI 智能体可能在自主调用它。

这是 DevSecOps 的新前沿：保护 AI 智能体用来修改生产基础设施的管道。这令人兴奋，也令人恐惧，但它绝对是我们前进的方向。

混乱阶段正在结束。工程阶段正在开始。

说白了： Agentic SDLC 不是即将到来——它已经在这里了。现在正在形成的行业共识给了我们构建适当安全框架所需的稳定性。无论你是独立开发者还是管理百人工程团队，现在都是调整安全策略的时候。