先问一个跟你有关的问题。
你手机里最常用的那个 App，上一次更新，是什么时候？
大概率想不起来。但如果我说，它里面有一部分代码，可能是 AI 在某个深夜写出来的，你大概也不会意外。
2026 年，AI 写代码早就不是新闻。
新闻在另一头：这些代码的安全性，可能一直是老样子。
▍先看一个有点扎心的数字
2025 年，安全公司 Veracode 做了个测试。
100 多个主流大模型，80 个真实编程任务，覆盖四个编程语言。任务不偏，就是日常开发里最常见的活。
结果：45% 的情况下，AI 会把一个已知的安全漏洞，写进代码里。
懂行的可能知道"OWASP Top 10"——安全圈那个著名榜单，最常见的十类网络风险。这次测试盯的就是它。45% 的失败率，意思是接近一半的产出，身上带着榜上有名的漏洞。
按语言拆开更夸张：Java 的安全失败率 72%，是最稳的 Python 的两倍还多。
还有一种最典型的漏洞，叫跨站脚本攻击——黑客往网页里塞一段恶意代码，偷访问者的登录状态。AI 在这类任务上的通过率，只有 12% 到 13%。
换句话说，AI 不是"偶尔写错"。是每写两份代码，就有一份带着能被黑客利用的口子。
▍什么叫"能跑，但不安全"
不懂技术的朋友可能没概念：代码能跑，和代码安全，差在哪？
给你个能听懂的例子。
AI 帮你写一个登录功能。用户名密码一输，登进去了，测试全过——能跑。
但它没做"防暴力破解"：输错密码不锁号，不限制尝试次数。黑客拿个程序挨个试密码，试一万次，门一直开着。
功能验收，全过。安全验收，零分。
而 AI 交付的时候，只会告诉你"功能完成了"。它不会说"这个门没锁"，因为没人教过它要检查这个。
更麻烦的是，这类问题你在使用中根本感知不到。页面该转转，该跳跳，一点都不卡。
直到有一天，出事了。
▍把人类写的和 AI 写的放一起比
"AI 会犯错"不新鲜。新鲜的是对比。
2025 年 12 月，CodeRabbit 做了项研究：从开源项目里挑了 320 个 AI 参与编写的代码合并请求，又挑了 150 个纯人工写的，做对照。
结论：AI 参与的那组，问题数量是人工组的 1.7 倍；安全问题，2.74 倍。
再看一个更"日常"的数字。
GitGuardian 2026 年 3 月发报告：2025 年，公开代码平台上新增了 2865 万个硬编码的秘密——密码、密钥这类东西，直接写死在代码里，谁拿到代码谁拿走。同比涨了 34%，历史最大单年涨幅。
同一份报告里有个对比：AI 辅助的提交，泄露率 3.2%；全体提交的平均基线，1.5%。
差不多翻倍。
几个数字摆一起看：
研究
口径
结果
Veracode 2025
100+ 个模型、80 个任务
45% 的产出带安全漏洞，两年没改善
CodeRabbit 2025-12
320 个 AI 协作请求 vs 150 个人工
安全问题是人工组的 2.74 倍
GitGuardian 2026-03
2025 年全年公开代码提交
秘密泄露同比 +34%，AI 提交泄露率约为基线两倍
▍更反常识的是：两年了，没变化
一个东西差，可以怪它年轻。
但 Veracode 的结论是：过去两年，模型越迭代越大，安全成绩几乎是一条平线。
参数超过 1000 亿的大模型，安全通过率 50.87%；不到 200 亿的小模型，50.65%。
翻译成人话：模型在"把功能写对"上进步飞快，在"把代码写安全"上，原地踏步。
为什么？有个被反复提到的解释：模型是从海量公开代码里学出来的。公开代码里有大量老写法、坏示范，甚至专门拿来教学的带漏洞样本。
它学的是"像不像"，不是"安不安全"。
这两个目标，在训练里根本不是一回事。
▍这事落到你身上，是什么样
看到这你可能会说：我又不写代码。
对。但你打开的每一个软件，背后都是代码。你公司里正在推的"AI 提效"，大概率也包含让 AI 写代码。
问题就在这：以前代码写得慢，安全审查还跟得上；现在代码秒出，审查要是没跟上，漏洞就是批量进场。
云安全联盟 2025 年的一项研究，给过一个更狠的数：62% 的 AI 生成代码方案，含设计缺陷或已知漏洞。
还有一层更隐蔽的。有对照实验发现：用 AI 辅助的开发者，写出的代码安全性更低，但对自己代码的信心反而更高。
一个更不安全，一个更自信。
这两个数字撞在一起，才是真危险：发现不了的风险，等于没有防线。
你的账号、你的支付信息、你填过的那些表单，最后都睡在这些代码上。代码产出得越快，睡着的时间越短，被翻出来的概率越大。
▍一个动作
不是让你抵制 AI 写代码。是让你加一个小习惯：
让 AI 交付任何东西之前，加一句："把你不确定的地方标出来。"
然后数一数它标了几个。
一个都不标的，反而要小心。
如果是你们公司的系统正在用 AI 写代码，值得替安全团队问一句："AI 写的部分，扫过没有？"
问一句不费事。
等出了事再问，就贵了。
这是「数字生命岐伯」第 74 问。我，野慢，广东，25岁。白天在大厂做AI产品，晚上被AI教做人。今天这题我替你们问过了，坑也替你们踩了。想让我测哪个AI，评论区点单。我们，下篇见
热门跟贴