人工智能能编写和审查代码——但风险仍由人类承担
Anthropic公司推出的Claude代码安全功能，标志着人工智能辅助软件开发与现代网络安全防护方式快速演进之间的关键交汇点。尽管这项新功能能够识别人工智能生成的代码中的漏洞，但它同时形成了信任与失败的单点，仍需专业人员评估检测结果并确定合适的修复方案。 咨询公司Acceligence首席执行官贾斯汀·格雷斯对此观点表示支持。他在接受CSO Online采访时强调："对于那些盲目依赖任何代码扫描工具（无论是否基于AI）来替代良好安全实践和安全编码基础的人而言，这正是警示信号——切勿将保护产品或服务核心价值的专业能力外包出去。"
从这个角度看，该模型与传统SAST工具并无本质区别。其推理机制更为先进，但风险敏感型应用场景仍需人工介入，以安全地解读、验证并修复其发现的问题。
对组织而言，真正的威胁并非人工智能能力本身，而是软件开发生命周期中缺乏约束的人工智能自主性及低效监管。当人工智能既能生成代码又能评估代码时，强有力的精准治理便成为关键控制措施。
“开发商”定义的扩展
人工智能降低了应用程序和软件开发的准入门槛。但即便借助AI能快速完成某项任务，也并不意味着你采用了最安全可靠的方式，更不能保证项目本身已具备用户就绪状态。氛围编程的核心理念在于先进入"心流状态"，再处理企业级开发规范（如安全问题）等后续环节。
当今的“开发者”可能是：
- 一位传统工程师利用人工智能加速编码任务
- 产品经理通过提示语进行功能原型设计
- 数据分析师通过人工智能实现脚本自动化
- 一位利用人工智能生成测试用例的质量保证工程师
从组织安全角度来看，代码编写者身份的重要性远不及代码投入生产后的影响。在合规与风险层面，若个人与人工智能的交互导致代码在缺乏企业特定安全监管的情况下进入软件开发生命周期（SDLC），将引发组织风险——这种风险必须被理解、衡量并加以缓解。
为何人类判断依然重要
随着越来越多的个人获得生成可能影响生产环境或敏感代码库的代码的能力，组织的风险状况随之扩大。治理机制必须不断演进，以支持大规模的人工智能驱动开发，同时确保保护企业所需的控制措施始终牢固到位。
人工智能能够相当可靠地生成代码并标记潜在漏洞。但它无法验证该代码是否符合您的架构、数据流、身份模型、监管义务或风险容忍度的要求——而这些基础信息直接影响着任何安全计划的有效性。 此外，将Claude Code这类工具引入软件开发生命周期（SDLC）是一回事，但BaxBench等工具通过海量数据分析表明：不同模型（例如Opus与Sonnet 4.5、Sonnet 3）在安全性和准确性方面会产生差异化输出，导致企业在追求有效安全代码时，最终实际支付的使用成本存在巨大差异。
安全的软件绝非仅仅是通过扫描的代码。它必须遵循良好的安全模式，与系统设计、业务意图和企业政策无缝衔接。这需要判断力。当开发人员过度依赖人工智能生成甚至审查代码时，他们对代码库的理解就会面临真正风险。如果工程师无法充分解释某段代码为何有效或安全，组织就已经丧失了一层控制力。
验证不等同于检测。问责制不等同于自动化。人工智能可以提供协助，但无法承担责任（迄今为止，没有任何法律能免除人类对失控人工智能行为的后果承担责任）。
人机协同监督并非过时的概念。在人工智能驱动的开发环境中，它是确保进入软件开发生命周期的代码经过有意识的审查、理解和批准的核心保障。若缺少这一层判断机制，速度便会转化为风险。
教育必须成为安全采用人工智能的基础
在此背景下，安全编码培训已从锦上添花转变为核心企业管控措施。"开发人员"将从操作者演变为协调者，培训重点也将从开发安全代码转向评估人工智能生成的代码安全性。
验证人工智能生成的代码、预判提示注入等新兴人工智能漏洞类别、理解人工智能模式与架构的交互机制——这些技能无法通过零散的合规培训模块习得。它们必须是持续性的、实用的，需融入现有工作流程，并能根据实际风险结果进行量化评估。
人工智能软件治理：我们缺失的控制层
许多安全项目仍将应用程序安全视为下游功能。在人工智能驱动的环境中，这种模式对降低风险的影响力已大不如前。当前亟需的是人工智能软件治理：一个真正适用于人工智能驱动软件开发生命周期的企业级控制平面。该体系贯穿人工智能驱动的软件开发全周期，对代码创建、审查和审批建立结构化监督机制。
包括：
- 跨团队人工智能工具使用情况的可视化
- 在软件开发生命周期中明确标注人工智能生成的代码来源
- 代码变更与风险信号及政策要求的关联性
- 在开发人员工作流程中实施安全编码标准
- 持续提升技能与可量化的安全编码能力
- 在代码进入生产环境前，可验证地降低安全风险
治理是连接检测与决策的桥梁，确保生产力的提升不会以牺牲问责制为代价。
人工智能将继续改变软件的构建方式，放弃它既不现实也不可取。毕竟，它带来的生产力提升和创新收益实在太过显著。但要安全地获取其价值，就需要纪律严明的监督和有意识的人工验证，而这种基础设施同样不能仓促建立或被忽视。
首席执行官、主席和联合创始人
Secure Code Warrior 我们在这里为您的组织提供服务，帮助您在整个软件开发生命周期中确保代码安全，并创造一种将网络安全放在首位的文化。无论您是应用安全经理、开发人员、CISO或任何涉及安全的人，我们都可以帮助您的组织减少与不安全代码有关的风险。
预定一个演示
首席执行官、主席和联合创始人
Pieter Danhieux是全球公认的安全专家，拥有超过12年的安全顾问经验，并在SANS担任首席讲师8年，教授如何针对和评估组织、系统和个人的安全弱点的攻击性技术。2016年，他被评为澳大利亚最酷的科技人士之一（Business Insider），被授予年度网络安全专业人士（AISA - 澳大利亚信息安全协会），并持有GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA认证。
Anthropic公司推出的Claude代码安全功能，标志着人工智能辅助软件开发与现代网络安全防护方式快速演进之间的关键交汇点。尽管这项新功能能够识别人工智能生成的代码中的漏洞，但它同时形成了信任与失败的单点，仍需专业人员评估检测结果并确定合适的修复方案。 咨询公司Acceligence首席执行官贾斯汀·格雷斯对此观点表示支持。他在接受CSO Online采访时强调："对于那些盲目依赖任何代码扫描工具（无论是否基于AI）来替代良好安全实践和安全编码基础的人而言，这正是警示信号——切勿将保护产品或服务核心价值的专业能力外包出去。"
从这个角度看，该模型与传统SAST工具并无本质区别。其推理机制更为先进，但风险敏感型应用场景仍需人工介入，以安全地解读、验证并修复其发现的问题。
对组织而言，真正的威胁并非人工智能能力本身，而是软件开发生命周期中缺乏约束的人工智能自主性及低效监管。当人工智能既能生成代码又能评估代码时，强有力的精准治理便成为关键控制措施。
“开发商”定义的扩展
人工智能降低了应用程序和软件开发的准入门槛。但即便借助AI能快速完成某项任务，也并不意味着你采用了最安全可靠的方式，更不能保证项目本身已具备用户就绪状态。氛围编程的核心理念在于先进入"心流状态"，再处理企业级开发规范（如安全问题）等后续环节。
当今的“开发者”可能是：
- 一位传统工程师利用人工智能加速编码任务
- 产品经理通过提示语进行功能原型设计
- 数据分析师通过人工智能实现脚本自动化
- 一位利用人工智能生成测试用例的质量保证工程师
从组织安全角度来看，代码编写者身份的重要性远不及代码投入生产后的影响。在合规与风险层面，若个人与人工智能的交互导致代码在缺乏企业特定安全监管的情况下进入软件开发生命周期（SDLC），将引发组织风险——这种风险必须被理解、衡量并加以缓解。
为何人类判断依然重要
随着越来越多的个人获得生成可能影响生产环境或敏感代码库的代码的能力，组织的风险状况随之扩大。治理机制必须不断演进，以支持大规模的人工智能驱动开发，同时确保保护企业所需的控制措施始终牢固到位。
人工智能能够相当可靠地生成代码并标记潜在漏洞。但它无法验证该代码是否符合您的架构、数据流、身份模型、监管义务或风险容忍度的要求——而这些基础信息直接影响着任何安全计划的有效性。 此外，将Claude Code这类工具引入软件开发生命周期（SDLC）是一回事，但BaxBench等工具通过海量数据分析表明：不同模型（例如Opus与Sonnet 4.5、Sonnet 3）在安全性和准确性方面会产生差异化输出，导致企业在追求有效安全代码时，最终实际支付的使用成本存在巨大差异。
安全的软件绝非仅仅是通过扫描的代码。它必须遵循良好的安全模式，与系统设计、业务意图和企业政策无缝衔接。这需要判断力。当开发人员过度依赖人工智能生成甚至审查代码时，他们对代码库的理解就会面临真正风险。如果工程师无法充分解释某段代码为何有效或安全，组织就已经丧失了一层控制力。
验证不等同于检测。问责制不等同于自动化。人工智能可以提供协助，但无法承担责任（迄今为止，没有任何法律能免除人类对失控人工智能行为的后果承担责任）。
人机协同监督并非过时的概念。在人工智能驱动的开发环境中，它是确保进入软件开发生命周期的代码经过有意识的审查、理解和批准的核心保障。若缺少这一层判断机制，速度便会转化为风险。
教育必须成为安全采用人工智能的基础
在此背景下，安全编码培训已从锦上添花转变为核心企业管控措施。"开发人员"将从操作者演变为协调者，培训重点也将从开发安全代码转向评估人工智能生成的代码安全性。
验证人工智能生成的代码、预判提示注入等新兴人工智能漏洞类别、理解人工智能模式与架构的交互机制——这些技能无法通过零散的合规培训模块习得。它们必须是持续性的、实用的，需融入现有工作流程，并能根据实际风险结果进行量化评估。
人工智能软件治理：我们缺失的控制层
许多安全项目仍将应用程序安全视为下游功能。在人工智能驱动的环境中，这种模式对降低风险的影响力已大不如前。当前亟需的是人工智能软件治理：一个真正适用于人工智能驱动软件开发生命周期的企业级控制平面。该体系贯穿人工智能驱动的软件开发全周期，对代码创建、审查和审批建立结构化监督机制。
包括：
- 跨团队人工智能工具使用情况的可视化
- 在软件开发生命周期中明确标注人工智能生成的代码来源
- 代码变更与风险信号及政策要求的关联性
- 在开发人员工作流程中实施安全编码标准
- 持续提升技能与可量化的安全编码能力
- 在代码进入生产环境前，可验证地降低安全风险
治理是连接检测与决策的桥梁，确保生产力的提升不会以牺牲问责制为代价。
人工智能将继续改变软件的构建方式，放弃它既不现实也不可取。毕竟，它带来的生产力提升和创新收益实在太过显著。但要安全地获取其价值，就需要纪律严明的监督和有意识的人工验证，而这种基础设施同样不能仓促建立或被忽视。
Anthropic公司推出的Claude代码安全功能，标志着人工智能辅助软件开发与现代网络安全防护方式快速演进之间的关键交汇点。尽管这项新功能能够识别人工智能生成的代码中的漏洞，但它同时形成了信任与失败的单点，仍需专业人员评估检测结果并确定合适的修复方案。 咨询公司Acceligence首席执行官贾斯汀·格雷斯对此观点表示支持。他在接受CSO Online采访时强调："对于那些盲目依赖任何代码扫描工具（无论是否基于AI）来替代良好安全实践和安全编码基础的人而言，这正是警示信号——切勿将保护产品或服务核心价值的专业能力外包出去。"
从这个角度看，该模型与传统SAST工具并无本质区别。其推理机制更为先进，但风险敏感型应用场景仍需人工介入，以安全地解读、验证并修复其发现的问题。
对组织而言，真正的威胁并非人工智能能力本身，而是软件开发生命周期中缺乏约束的人工智能自主性及低效监管。当人工智能既能生成代码又能评估代码时，强有力的精准治理便成为关键控制措施。
“开发商”定义的扩展
人工智能降低了应用程序和软件开发的准入门槛。但即便借助AI能快速完成某项任务，也并不意味着你采用了最安全可靠的方式，更不能保证项目本身已具备用户就绪状态。氛围编程的核心理念在于先进入"心流状态"，再处理企业级开发规范（如安全问题）等后续环节。
当今的“开发者”可能是：
- 一位传统工程师利用人工智能加速编码任务
- 产品经理通过提示语进行功能原型设计
- 数据分析师通过人工智能实现脚本自动化
- 一位利用人工智能生成测试用例的质量保证工程师
从组织安全角度来看，代码编写者身份的重要性远不及代码投入生产后的影响。在合规与风险层面，若个人与人工智能的交互导致代码在缺乏企业特定安全监管的情况下进入软件开发生命周期（SDLC），将引发组织风险——这种风险必须被理解、衡量并加以缓解。
为何人类判断依然重要
随着越来越多的个人获得生成可能影响生产环境或敏感代码库的代码的能力，组织的风险状况随之扩大。治理机制必须不断演进，以支持大规模的人工智能驱动开发，同时确保保护企业所需的控制措施始终牢固到位。
人工智能能够相当可靠地生成代码并标记潜在漏洞。但它无法验证该代码是否符合您的架构、数据流、身份模型、监管义务或风险容忍度的要求——而这些基础信息直接影响着任何安全计划的有效性。 此外，将Claude Code这类工具引入软件开发生命周期（SDLC）是一回事，但BaxBench等工具通过海量数据分析表明：不同模型（例如Opus与Sonnet 4.5、Sonnet 3）在安全性和准确性方面会产生差异化输出，导致企业在追求有效安全代码时，最终实际支付的使用成本存在巨大差异。
安全的软件绝非仅仅是通过扫描的代码。它必须遵循良好的安全模式，与系统设计、业务意图和企业政策无缝衔接。这需要判断力。当开发人员过度依赖人工智能生成甚至审查代码时，他们对代码库的理解就会面临真正风险。如果工程师无法充分解释某段代码为何有效或安全，组织就已经丧失了一层控制力。
验证不等同于检测。问责制不等同于自动化。人工智能可以提供协助，但无法承担责任（迄今为止，没有任何法律能免除人类对失控人工智能行为的后果承担责任）。
人机协同监督并非过时的概念。在人工智能驱动的开发环境中，它是确保进入软件开发生命周期的代码经过有意识的审查、理解和批准的核心保障。若缺少这一层判断机制，速度便会转化为风险。
教育必须成为安全采用人工智能的基础
在此背景下，安全编码培训已从锦上添花转变为核心企业管控措施。"开发人员"将从操作者演变为协调者，培训重点也将从开发安全代码转向评估人工智能生成的代码安全性。
验证人工智能生成的代码、预判提示注入等新兴人工智能漏洞类别、理解人工智能模式与架构的交互机制——这些技能无法通过零散的合规培训模块习得。它们必须是持续性的、实用的，需融入现有工作流程，并能根据实际风险结果进行量化评估。
人工智能软件治理：我们缺失的控制层
许多安全项目仍将应用程序安全视为下游功能。在人工智能驱动的环境中，这种模式对降低风险的影响力已大不如前。当前亟需的是人工智能软件治理：一个真正适用于人工智能驱动软件开发生命周期的企业级控制平面。该体系贯穿人工智能驱动的软件开发全周期，对代码创建、审查和审批建立结构化监督机制。
包括：
- 跨团队人工智能工具使用情况的可视化
- 在软件开发生命周期中明确标注人工智能生成的代码来源
- 代码变更与风险信号及政策要求的关联性
- 在开发人员工作流程中实施安全编码标准
- 持续提升技能与可量化的安全编码能力
- 在代码进入生产环境前，可验证地降低安全风险
治理是连接检测与决策的桥梁，确保生产力的提升不会以牺牲问责制为代价。
人工智能将继续改变软件的构建方式，放弃它既不现实也不可取。毕竟，它带来的生产力提升和创新收益实在太过显著。但要安全地获取其价值，就需要纪律严明的监督和有意识的人工验证，而这种基础设施同样不能仓促建立或被忽视。
点击下面的链接，下载本资料的 PDF 文件。
Secure Code Warrior 我们在这里为您的组织提供服务，帮助您在整个软件开发生命周期中确保代码安全，并创造一种将网络安全放在首位的文化。无论您是应用安全经理、开发人员、CISO或任何涉及安全的人，我们都可以帮助您的组织减少与不安全代码有关的风险。
查看报告预定一个演示
首席执行官、主席和联合创始人
Pieter Danhieux是全球公认的安全专家，拥有超过12年的安全顾问经验，并在SANS担任首席讲师8年，教授如何针对和评估组织、系统和个人的安全弱点的攻击性技术。2016年，他被评为澳大利亚最酷的科技人士之一（Business Insider），被授予年度网络安全专业人士（AISA - 澳大利亚信息安全协会），并持有GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA认证。
Anthropic公司推出的Claude代码安全功能，标志着人工智能辅助软件开发与现代网络安全防护方式快速演进之间的关键交汇点。尽管这项新功能能够识别人工智能生成的代码中的漏洞，但它同时形成了信任与失败的单点，仍需专业人员评估检测结果并确定合适的修复方案。 咨询公司Acceligence首席执行官贾斯汀·格雷斯对此观点表示支持。他在接受CSO Online采访时强调："对于那些盲目依赖任何代码扫描工具（无论是否基于AI）来替代良好安全实践和安全编码基础的人而言，这正是警示信号——切勿将保护产品或服务核心价值的专业能力外包出去。"
从这个角度看，该模型与传统SAST工具并无本质区别。其推理机制更为先进，但风险敏感型应用场景仍需人工介入，以安全地解读、验证并修复其发现的问题。
对组织而言，真正的威胁并非人工智能能力本身，而是软件开发生命周期中缺乏约束的人工智能自主性及低效监管。当人工智能既能生成代码又能评估代码时，强有力的精准治理便成为关键控制措施。
“开发商”定义的扩展
人工智能降低了应用程序和软件开发的准入门槛。但即便借助AI能快速完成某项任务，也并不意味着你采用了最安全可靠的方式，更不能保证项目本身已具备用户就绪状态。氛围编程的核心理念在于先进入"心流状态"，再处理企业级开发规范（如安全问题）等后续环节。
当今的“开发者”可能是：
- 一位传统工程师利用人工智能加速编码任务
- 产品经理通过提示语进行功能原型设计
- 数据分析师通过人工智能实现脚本自动化
- 一位利用人工智能生成测试用例的质量保证工程师
从组织安全角度来看，代码编写者身份的重要性远不及代码投入生产后的影响。在合规与风险层面，若个人与人工智能的交互导致代码在缺乏企业特定安全监管的情况下进入软件开发生命周期（SDLC），将引发组织风险——这种风险必须被理解、衡量并加以缓解。
为何人类判断依然重要
随着越来越多的个人获得生成可能影响生产环境或敏感代码库的代码的能力，组织的风险状况随之扩大。治理机制必须不断演进，以支持大规模的人工智能驱动开发，同时确保保护企业所需的控制措施始终牢固到位。
人工智能能够相当可靠地生成代码并标记潜在漏洞。但它无法验证该代码是否符合您的架构、数据流、身份模型、监管义务或风险容忍度的要求——而这些基础信息直接影响着任何安全计划的有效性。 此外，将Claude Code这类工具引入软件开发生命周期（SDLC）是一回事，但BaxBench等工具通过海量数据分析表明：不同模型（例如Opus与Sonnet 4.5、Sonnet 3）在安全性和准确性方面会产生差异化输出，导致企业在追求有效安全代码时，最终实际支付的使用成本存在巨大差异。
安全的软件绝非仅仅是通过扫描的代码。它必须遵循良好的安全模式，与系统设计、业务意图和企业政策无缝衔接。这需要判断力。当开发人员过度依赖人工智能生成甚至审查代码时，他们对代码库的理解就会面临真正风险。如果工程师无法充分解释某段代码为何有效或安全，组织就已经丧失了一层控制力。
验证不等同于检测。问责制不等同于自动化。人工智能可以提供协助，但无法承担责任（迄今为止，没有任何法律能免除人类对失控人工智能行为的后果承担责任）。
人机协同监督并非过时的概念。在人工智能驱动的开发环境中，它是确保进入软件开发生命周期的代码经过有意识的审查、理解和批准的核心保障。若缺少这一层判断机制，速度便会转化为风险。
教育必须成为安全采用人工智能的基础
在此背景下，安全编码培训已从锦上添花转变为核心企业管控措施。"开发人员"将从操作者演变为协调者，培训重点也将从开发安全代码转向评估人工智能生成的代码安全性。
验证人工智能生成的代码、预判提示注入等新兴人工智能漏洞类别、理解人工智能模式与架构的交互机制——这些技能无法通过零散的合规培训模块习得。它们必须是持续性的、实用的，需融入现有工作流程，并能根据实际风险结果进行量化评估。
人工智能软件治理：我们缺失的控制层
许多安全项目仍将应用程序安全视为下游功能。在人工智能驱动的环境中，这种模式对降低风险的影响力已大不如前。当前亟需的是人工智能软件治理：一个真正适用于人工智能驱动软件开发生命周期的企业级控制平面。该体系贯穿人工智能驱动的软件开发全周期，对代码创建、审查和审批建立结构化监督机制。
包括：
- 跨团队人工智能工具使用情况的可视化
- 在软件开发生命周期中明确标注人工智能生成的代码来源
- 代码变更与风险信号及政策要求的关联性
- 在开发人员工作流程中实施安全编码标准
- 持续提升技能与可量化的安全编码能力
- 在代码进入生产环境前，可验证地降低安全风险
治理是连接检测与决策的桥梁，确保生产力的提升不会以牺牲问责制为代价。
人工智能将继续改变软件的构建方式，放弃它既不现实也不可取。毕竟，它带来的生产力提升和创新收益实在太过显著。但要安全地获取其价值，就需要纪律严明的监督和有意识的人工验证，而这种基础设施同样不能仓促建立或被忽视。
资源
安全代码培训主题和内容
Our industry-leading content is always evolving to fit the ever changing software development landscape with your role in mind. Topics covering everything from AI to XQuery Injection, offered for a variety of roles from Architects and Engineers to Product Managers and QA. Get a sneak peek of what our content catalog has to offer by topic and role.
%20(1).avif)
资源
Observe and Secure the ADLC: A Four-Point Framework for CISOs and Development Teams Using AI
While development teams look to make the most of GenAI’s undeniable benefits, we’d like to propose a four-point foundational framework that will allow security leaders to deploy AI coding tools and agents with a higher, more relevant standard of security best practices. It details exactly what enterprises can do to ensure safe, secure code development right now, and as agentic AI becomes an even bigger factor in the future.
