事情是这样的。
这两天我刷 AI 日报的时候，看到一条消息，给我整得有点沉默。
大概意思是，有关于 Claude Code 某些版本的安全风险提示，说可能存在未经用户同意回传信息的问题。
我先把免责声明放在前面，这种安全类消息，尤其是来自转发和二手信息的内容，正式发文章前一定要回到官方公告和原始材料核验。
不要因为一条截图就开喷。
但这个消息真正戳到我的点，不在于某一个版本到底有没有问题。
而是它把一个我们一直没认真面对的问题，直接怼到桌面上了。
AI 编程工具，已经不再是一个聊天框了。
它现在更像一个坐在你电脑里的实习生。
而且是那种手很长的实习生。
它能读你的代码，能看你的文件，能跑你的命令，能访问你的依赖，能联网查资料，甚至能帮你改完代码之后继续跑测试。
你说它厉害吗。
当然厉害。
我自己每天也在用这类工具。
很多时候，我不是让它写代码，而是让它帮我把一个混乱的项目重新读一遍，把入口、依赖、测试命令、风险点捋出来。
这种感觉太爽了。
以前你接手一个陌生项目，要先痛苦地翻半天文件。
现在你一句话，它能帮你把地图画出来。
但爽的另一面，就是边界突然变得非常吓人。
以前一个编辑器插件再离谱，大概率也就是改坏几个文件。
现在一个 Agent 型编程工具如果权限没管好，它接触到的东西可就多了。
代码仓库，环境变量，配置文件，日志，接口文档，本地缓存，甚至你压根没意识到存在的临时文件。
这不是危言耸听。
你只要认真想一下就知道，AI 编程工具的能力越接近真人工程师，它就越应该被当成真人工程师来管理。
真人工程师进公司要开权限，要签保密协议，要有代码审查，要有操作日志。
那一个能自动读文件、跑命令、连网络的 AI，凭什么不用这些东西？
很长一段时间里，我们讨论 AI 编程，讨论的都是效率。
能不能一天写一万行代码。
能不能一个人顶一个团队。
能不能让不会写代码的人做出产品。
这些当然重要，也很性感，传播起来也很爽。
但我越来越觉得，下一阶段真正有价值的问题，可能不是 AI 能写多少代码，而是它写这些代码的时候，到底被什么规则约束着。
今天另一个消息也很有意思。
AI 审计代理在 Cloudflare 的 CIRCL 密码学库里发现了 7 个真实漏洞。
你看，特别讽刺。
同样是 AI，一边可能带来新的安全风险，一边又能成为新的安全审计员。
它不是单纯的恶魔，也不是单纯的天使。
它就是能力。
能力越强，越需要制度。
就像电力刚出现的时候，人们不是因为会触电就不用电了。
最后真正改变世界的，不是裸奔的电线，而是电网、保险丝、开关、标准和维修工。
AI 编程工具也会走到这一步。
一开始大家都在兴奋，卧槽，它会写代码。
然后大家开始焦虑，完了，它会不会替代程序员。
再往后，真正成熟的公司会开始问另一类问题。
它能读哪些目录。
它能不能访问生产配置。
它每一次工具调用有没有日志。
它生成的代码有没有强制审查。
它能不能把文件发到外部服务。
它能不能在没有人确认的情况下执行删除命令。
这些问题听起来一点都不酷。
但这才是 AI 从玩具走向生产力工具必须经历的成人礼。
所以我不太赞成那种简单粗暴的观点，说企业应该全面禁止 AI 编程工具。
坦率的讲，禁不住的。
只要它真的能提高效率，员工总会找到办法用。
你把门锁了，他可能从窗户进来。
最后变成影子 IT，反而更难管。
我更相信另一条路。
把它请到阳光下面来。
给它权限，给它边界，给它日志，给它审查。
让它在规则里干活。
这事可能会催生一个特别有意思的新岗位，AI 工具安全审计员。
他不一定是传统安全工程师，也不只是提示词工程师。
他要懂开发流程，懂权限边界，懂模型行为，还要懂业务里哪些东西是真正不能碰的。
他要回答的问题不是，AI 好不好用。
而是，AI 在这里怎么安全地好用。
大时代啊，朋友们。
以前我们担心 AI 不够聪明。
现在它开始够聪明了。
新的问题就来了。
我们准备好管理一个会动手的聪明东西了吗？
我自己也不知道答案。
但我很确定，下一阶段真正值得关注的，不只是更强的 Agent。
而是更可靠、更可审计、更可控的 Agent。
因为 AI 编程工具最危险的地方，从来不是它会写错代码。
而是我们把它当成玩具的时候，它已经开始像同事一样工作了。
