自動化自滿，安全篇
最危險的時刻不是第一天——而是第九十天。第一天你很謹慎；你讀每一份 diff，你跑那段攻擊者提示詞，你檢查上傳處理邏輯。然後一百次改動上線了，什麼壞事都沒發生，於是檢查開始讓人覺得像是走過場。你“就這一次”地在一個小改動上跳過了審查關卡。這個小改動加了一個沒有授權檢查的介面。有一陣子什麼都沒發生，因為從內部看，什麼都沒發生正是一個安全漏洞的樣子。
這就是自動化自滿對準了安全，而它在這裡比在任何別的地方都更糟，因為安全失敗是無聲的、延遲的。一個壞掉的功能會在幾分鐘內懲罰你。一個壞掉的許可權檢查則會用表面上的成功來獎勵你，一直獎勵到洩露發生的那一刻。災難的缺席並不是安全的證據——它正是一個有漏洞、只是還沒被人發現的應用的正常狀態。
防禦之道，是把這道關卡做得足夠便宜，讓你不去跳過它；又足夠自動，讓你沒法跳過它。把金鑰掃描和 audit 放進 ，這樣它們不靠你記著也會執行；把那段攻擊者提示詞隨手放在手邊，用在任何接觸 auth、資料或上傳的東西上。守住一條線：一個處理使用者資料或許可權的改動，在有人——你，藉助 AI 誠實的幫助——主動試圖攻破它之前，不上線。vibe coding 裡的速度來自好的關卡，而不是來自相信“安靜”就意味著一切都好。