我用“氛围编程”亲手编出了一个安全漏洞

原文：https://every.to/working-overtime/i-vibe-coded-a-security-risk

“这个功能上线了，哈哈。”

我从没想过有一天自己会打出这几个字，更不用说是在说自己做的东西。那个“哈哈”完全是我这个千禧一代发自内心的、紧张到不行的本能反应。我根本笑不出来。正在审查我代码的AI智能体也一样。它刚刚告诉我，我做进应用里的那个功能必须立刻下线，因为我们要搞清楚它是否暴露了一个安全问题。

大家好，我是一个“氛围编程”新手。你可能想知道我是怎么走到这一步的。答案是一锅浓稠的乱炖：想象力和无知、狂妄自大，还有——怎么可能少得了它——AI。

今年一月，当Claude Opus 4.5 让所有人目瞪口呆，智能体原生架构（agent-native architecture）开始作为一种构建软件的新范式崭露头角时，我萌生了“氛围编程”的冲动：如果我来做一个专门直接跟AI智能体协作的应用，会怎么样？

读者朋友们，我干了。我的应用Tastemaker可以让你从自己喜欢的文字里收集片段，描述你喜欢它们什么地方，然后根据其中的模式生成一份风格指南。在它看起来能跑通之后，我怀着幼儿园小朋友把自己手指画拿回家给妈妈贴冰箱的那股骄傲劲儿，买了个域名，把它发布到了网上。

应用真的能用。人们能用它。令我震惊的是，真的有一小撮人在用。它成了一座虽小但鲜活的纪念碑，见证我身兼多职的能力：证明了我是一个手里握着真东西的“写作者-创造者”，而不只是一个满脑子产品想法的写作者。

然后，就像那个被独自留下、守着自己作品和一瓶没盖盖的颜料的幼儿园小朋友一样，我把整件事都给毁了。

OpenAI的研究员们给我在捣鼓API密钥、Supabase（Supabase，一个我几乎搞不懂的后端数据库服务），以及一大堆一年前才第一次听说的词汇时所做的事起了个名字。他们称之为“任务跨界”（task crossover）：利用AI从事历史上属于另一个职业的工作。在他们对超过80万条与工作相关的ChatGPT消息分析中，有16.8%涉及任务跨界。

在某处，有营销人员在调试网站，有小企业主在审查合同，还有其他写作者正看着一个能跑的应用想：好吧，如果我连这个都能搞定，那还有什么我做不到的？

对我来说，答案变成了：足以把自己惹上麻烦。

你能理解这事儿的诱惑力。一个带着特定问题的人，再也不必去寻找那个可能解决它的专家，再费口舌证明自己的问题值得对方花时间，然后等它慢慢排到对方待办清单的前列。AI能帮助我们在还没判断一件事是否安全或适合给别人用之前，就把它做出来。

让我给你讲讲我的惨痛经历。

初学者的傲慢

Tastemaker是一个收藏我热爱的文字，并将我对它们的看法转化为我能实际运用之物的地方。我手动做这种事已经很多年了：往笔记应用里复制好句子，在书里划线，然后试图解释为什么某一段文字充满电力，另一段读起来却像一封入职邮件的感情温度。

然后，我又有了一个点子。

我想让人们直接把他们的Tastemaker个人资料连接到Claude Code、Codex，或是他们正在使用的任何一种智能体上。这样，智能体就能在他们拥有了一份风格指南后检索到它，还能把新的样本直接从智能体那边添加进Tastemaker，而不用来回倒手。实现这个功能的技术术语，我当时刚好知道到足以点名索要的程度，叫作MCP：一种让AI智能体连接到外部服务的接口。（我得声明一下，我是在知道我们Every的写作智能体Spiral也要加入类似功能之前，自己想到这点的。）

这个点子立刻就显得非常合理，这或许本应是我的第一个警告信号。Tastemaker知道你喜欢什么，而你的智能体正是你写作的地方。一个直接的连接可以让人们免于在两处之间烦人的往返。我可以把应用变得更有用，更像我现在相信自己有能力打造的那种复杂产品。

不过，我也不傻。我确实问过一位经验丰富的软件工程师朋友，这是不是等着爆发的安全噩梦。

他告诉我，一个经过认证的API不会因为被智能体使用就变得更有风险——它永远只会做被要求做的事。但一个负责管理用户访问的后端智能体则是另一回事：它决定谁可以进来，所以一个错误或被操纵的调用，就可能打开不该打开的门。这是个好建议，但并不是对我所构建之物的安全审查。

我把他的解释拿回去给Claude，然后给了它一个大概相当于技术指令的话：确保你做的是安全的版本。

Claude构建了这个连接器。它运行了检查。它把这个功能描述为已完成。我测试了，它能用。由于我那编码初哥的脑袋把“能用”等同于“安全”，我说出了那句如今我才意识到，可能是一个氛围程序员能说出的最危险的几个词：“提交并部署。”

后来，我获得了GPT-5.6 Sol 的访问权限，我让它检查一下Tastemaker，想看看一个更新潮的模型会怎么评价我的代码。我本以为它会批评代码结构，或者建议清理旧代码。

然而，它发现那个已上线的连接器，有一个公开注册路由——一个任何人都能走进来的敞开大门——而它本不应该是公开的。

万幸，没有证据显示有谁访问过用户数据。但这个功能是上线的，漏洞正等着被利用，并且审查发现了足够的风险，以至于Sol请求我允许它关闭连接器，并在调查期间让其活动会话失效。

我立刻就批准了。

Sol提议构建一个更安全的版本，但我拒绝了。我已经摸过火炉，被烫伤了。在我决定再次触摸它是否安全之前，我需要一些时间来恢复。

人类的认知方式如何让你陷入困境

我的第一反应，是想把这个故事讲成一个不懂技术的人拿着自己的新鲜玩意儿嗨过头了的故事。但我不认为我自己的傲慢就是故事的全部——我也不认为我是一个人在任务跨界的海妖歌声面前格外脆弱。

如果你问我：“你是个安全工程师吗？”我当然会说不是。我掉入的是一个更隐蔽、更危险的陷阱：高估了自己的理解能力。毕竟，做这个功能的不是我——是Claude。我是在监督。我能看到Claude的思维链，因为那些话听起来都有道理，我以为自己理解了它正在做的工作。我想当然地觉得，那些我因为无知而提不出的问题，一定在某个环节已经被处理好了。

心理学家对此有个名词：解释深度错觉（illusion of explanatory depth）。大意是说，人们会自信地认为自己理解某样普通机制——直到他们试图一步步解释这个东西到底是怎么工作的。

AI让你轻易就能跳过那个时刻。它把解释和代码都给了你，而且那个按钮在你点的时候真的管用。在未经训练的眼睛看来，“完成”的表象就成了已经完成的证据。

我测试了我想让Tastemaker做的事：连接到一个智能体。它确实连接上了一个智能体。但我没有测试，一个本来不该连接的人是不是也能连接上。我当时压根都不知道这是个需要问的问题。当功能已经能用时，那些没有答案的问题就感觉没那么火烧眉毛了。然后，他们就真的不是问题了。

软件测试的研究描述了一种类似的模式。人们倾向于测试他们期望程序做的事，而不是寻找它可能出故障的方式。一切顺利的路径是值得测试的。我只是把一个通过的测试，当成了它从未检查过的事情的证明。

这两种认知倾向都不是Claude发明的。但搜索引擎至少会让你自己去点开链接，自己做判断。Claude把一个成型的点子变成一个能跑的应用速度太快了，快到我从没来得及感到害怕。

在限制中学会编程

我为下一次设定自己的规则很简单：学习我正在进入的领域的基本原则。请一位人类专家帮我看看我漏掉了什么。如果东西是AI做的，就别让同一个系统的保证成为证明它已经准备就绪的唯一证据。但愿有了这些减速带——有了这些让人能说“等等”的机会——我能有更好的机会，维持一个我能够负责任地支撑起来的速度。

而且，为了确保我真的把事儿想透彻了，我正在拉AI来帮忙。

我已经在我的AGENTS.md里——这是Codex在采取任何行动之前会先读取的文件——添加了如下指令：

成为Every的付费订阅者，即可解锁本文全部内容，并获得Katie那能让人工智能体在做不可逆操作前暂停的五步提示法。

订阅

核心启示：AI极大地降低了“制造”的门槛，但没有降低“判断”的成本；把“能用”误认为“安全”，是任务跨界者最容易踩中最危险的陷阱。