以前做一个能上线的小产品，至少得会一点代码，或者花几万找人做。

现在不一样了。打开 AI，会打字就能拼出一个「能点开的东西」。

于是很多人在周末完成了人生第一次「上线」。

有人截图发朋友圈：两小时，独立完成。 也有人在凌晨被手机通知叫醒：云服务账单异常。

这两年流行一种做法，国外叫 vibe coding，翻译成人话就是——跟着感觉让 AI 写，能跑就行。

它确实把「做出来」的门槛打穿了。

但它也悄悄留下一笔账：限流没做、接口没锁、贵的功能谁都能点。

结果是：产品还没起量，账单先起量；用户还没来，爬虫先来了。

更麻烦的是，有人已经不只是赔钱，而是开始处理投诉、封禁，甚至法律风险。

所以今天想把话说难听一点：

AI 降低的是动手门槛，不是上线责任。

下面把这类翻车拆开讲：账单怎么来的、为什么「能跑」如此危险、普通人上线前到底要检查哪 5 件事。

（一）账单是怎么悄悄涨起来的 很多人以为云服务账单是「按用量计费」，用多少付多少。 原理没错，但「用量」的定义很宽：接口被爬虫刷、图片被批量生成、短信被薅羊毛，都算你的用量。 你只做了一个小工具，全世界都可以来调用它。你的账单，就是别人的游乐场。

（二）「能跑」和「能上线」，是两回事 本地能跑，只说明代码没有语法错误。 能上线，意味着你要考虑：谁在用、用多少、会不会被恶意刷、超了怎么办。 这一步，恰恰是 AI 帮不了你的——因为 AI 不知道你的项目会面对什么样的真实流量。

（三）上线前 5 分钟清单

  1. 登录与权限：不能人人随便调用贵接口
  2. 限流：同一用户/同一 IP 每分钟几次封顶
  3. 贵操作单独挡：发短信、生成图片、大模型调用必须鉴权
  4. 账单告警：超 $5/$20 立刻推手机
  5. 先小范围：别一上来就公开链接到处发

（四）什么人适合 vibe coding，什么人别碰

打开网易新闻 查看精彩图片

适合：练手、原型、内部工具、低风险场景。

别碰：涉及支付、真实用户数据、对外公开服务——除非你先把上面 5 件事做完。

你或者你身边人，被 AI 坑过最惨的一次是什么？欢迎评论区聊聊。觉得有用，转给那个正在用 AI 加班的朋友。