當 AI 寫 Code 快過人類審查：工程師憂慮「Vibe Slop」正在形成

安全風險：漏洞更容易流入生產環境

最令人擔心嘅問題之一係安全。

安全研究人員已經觀察到 AI 生成程式碼同漏洞數量上升之間嘅關聯。例如研究指出，2026 年 3 月至少有 35 個新 CVE 漏洞直接與 AI 生成程式碼有關。

而且實際數量可能更高，因為很多情況難以從 metadata 判斷程式碼來源。

其他研究亦發現，AI 模型往往會重現訓練資料中嘅不安全寫法。例如多個模型測試顯示：

• 約 45% 的生成程式碼樣本包含常見安全漏洞
• 其中包括 OWASP Top 10 類型問題，例如注入漏洞或驗證錯誤

另一個常見問題係憑證洩漏。

分析真實開發流程後發現：

• AI 協助提交的 commit 3.2% 會暴露憑證
• 人類提交則為 1.5%

即係話，AI 參與的程式碼提交洩密機率超過兩倍。

OpenClaw：AI 系統暴露到互聯網的現實案例

呢啲風險喺 AI agent 平台上尤其明顯。

開源 AI 助手平台 OpenClaw 就被安全研究人員視為一個典型例子。

調查發現，互聯網上有數以萬計公開可訪問的 OpenClaw 部署，很多都因為配置錯誤而容易被接管。

其中一次掃描發現：

• 21,000 多個公開實例直接暴露在互聯網
• 多個系統洩露 API key、OAuth token 同明文憑證

更誇張嘅係，OpenClaw 擴展生態亦出現安全問題。

研究人員掃描接近 **4,000 個 agent「skills」**後發現：

• 283 個套件存在嚴重憑證處理漏洞
• 佔整個生態約 7.1%

如果呢類 AI agent 擁有系統權限或第三方整合權限，一旦配置錯誤，佢就可能變成一個公開控制台，任何人都可以利用。

工程師最擔心：唔識寫 code 的人開始部署系統

其實很多工程師強調，真正問題未必係工具，而係使用者本身。

傳統軟件開發有一個假設：寫 code 嘅人理解自己系統嘅架構、安全邊界同依賴關係。

但 vibe coding 打破咗呢個假設。

如果使用者無能力閱讀或理解 AI 生成嘅程式碼，但仍然可以部署應用程式，就可能忽略例如：

• 隱藏漏洞
• 不安全登入流程
• 危險依賴套件
• 邊界情況錯誤

結果往往出現工程師口中的 「happy‑path software」：

系統喺 demo 或理想情況下運作正常，但一遇到現實環境就開始出問題。

長期成本：快速累積的技術債

即使 AI 生成程式碼本身可以正常運行，仍然可能帶來巨大技術債（technical debt）。

原因係 AI 令每個開發者產生更多程式碼，企業要維護嘅 codebase 會急速變大。如果設計模式混亂、文件不足或邏輯重複，日後修改成本就會不斷增加。

安全研究亦提出另一個概念：「安全債」（security debt）。

即係漏洞累積速度可能比修補速度更快，令企業長期處於風險之中。

簡單講：

• 生產力提升係即時的
• 維護成本係延遲出現的

類似問題正在科學研究出現

同樣的結構性問題，其實已經開始出現在科研界。

AI 現時已被用於：

• 搜尋文獻
• 生成研究假說
• 撰寫論文
• 協助同行評審流程

部分實驗顯示，大型語言模型確實可以提出有潛力的新科學假說。

但更大型研究比較後發現，當真正做實驗驗證時，AI 生成假說通常表現比人類差。

學術界因此開始討論類似「AI slop」現象。

2026 年期刊 Science 的一篇社論警告，如果 AI 在論文寫作中的使用過度或缺乏披露，可能會降低學術紀錄的可靠性。

真正瓶頸其實係「人類判斷」

無論係軟件工程定科學研究，問題本質都一樣。

AI 令以下事情成本急跌：

• 產生程式碼
• 產生假說
• 產生論文
• 產生設計

但評估呢啲成果仍然需要人類專業判斷。

當「生成」幾乎免費，而「審查」仍然昂貴又稀缺時，整個系統就可能被大量看似合理但質量不穩定的內容淹沒。

喺軟件領域，呢個現象就叫做：vibe slop。