AI「Vibe Coding」如何演變成軟體安全與技術債危機

資安是工程師最擔心的問題之一。

研究人員追蹤漏洞揭露資料後發現，2026 年 3 月至少有 35 個 CVE 漏洞直接與 AI 生成程式碼相關，而真實數字可能更高，因為許多案例沒有可辨識的 AI 生成標記。

其他研究也指出，AI coding 工具經常複製訓練資料中的不安全模式。

測試多個主流模型後發現：

• 約 45% 的 AI 生成程式碼含常見安全漏洞
• 其中包括 OWASP Top 10 的多種問題，例如注入漏洞或權限控制錯誤。

另一個常見問題是 機密資訊外洩。

在實際開發流程的分析中，AI 協助的提交有 3.2% 會暴露憑證，而純人工提交為 1.5%，差距超過兩倍。

這意味著 API key、密碼或 token 更容易被硬編碼進程式並公開在程式庫中。

OpenClaw：AI 系統暴露在網路上的警訊

AI 代理與自動化工具讓這些問題更加明顯。

開源 AI 助手平台 OpenClaw 就被資安研究員視為典型案例。

調查顯示網路上存在 數萬個可直接從網際網路存取的部署實例，許多因設定錯誤或版本過舊而可被接管。

其中一次掃描就發現 21,000 多個公開可存取的實例，部分系統甚至直接洩漏：

• API keys
• OAuth tokens
• 明文憑證

這些資訊可能讓攻擊者取得系統整合的服務存取權。

問題不只存在於核心系統。

研究人員掃描約 4,000 個 OpenClaw 技能（extensions）後發現：

• 283 個套件（約 7.1%）存在嚴重憑證處理漏洞
• 可能導致敏感資料被暴露。

這顯示一個更大的問題：當 AI 代理具有多系統整合能力卻缺乏嚴格安全設定時，它可能變成 一個公開的系統控制面板。

為什麼工程師擔心「不懂程式的人」使用 AI

許多開發者認為，真正的問題不在工具，而在使用方式。

傳統軟體開發有一個基本假設：寫程式的人理解自己寫的系統。

但在 vibe coding 中，這個假設不再成立。

如果使用者無法閱讀或理解生成的程式碼，他仍然可能部署一個看似正常運作的應用程式，但可能完全沒察覺：

• 潛藏的安全漏洞
• 不安全的登入流程
• 危險的依賴鏈
• 邊界情境錯誤

工程師常把這種系統稱為 「happy‑path software」——只在理想情況下運作，一旦遇到真實世界的複雜情境就會失敗。

長期成本：快速累積的技術債

即使 AI 生成程式碼本身沒有錯誤，也可能快速累積 技術債（technical debt）。

因為 AI 讓每位開發者能產生更多程式碼，公司最終要維護的系統規模會更大。如果這些程式碼存在：

• 重複邏輯
• 不一致設計
• 不完整文件

未來每一次修改都會變得更昂貴與更危險。

資安研究人員因此提出另一個概念：「安全債（security debt）」。

當漏洞產生速度比修復速度更快時，風險會持續累積。

換句話說：

AI 帶來的生產力提升是立即的，但維護成本往往是延遲出現的。

類似問題也開始出現在科學研究

這種「生成便宜、驗證昂貴」的結構，也正在影響科學界。

AI 已被用於：

• 文獻搜尋
• 假說生成
• 論文草稿撰寫
• 同儕審查輔助流程。

一些研究顯示，大型語言模型確實能提出新穎且可測試的科學假說。

但更大規模的研究發現，AI 生成的假說在實驗驗證時往往不如人類提出的假說表現好。

學術界開始擔心另一種形式的「AI slop」。

2026 年《Science》期刊的一篇社論指出，如果 AI 在論文撰寫或審查中的使用過度或缺乏揭露，可能會削弱學術出版的可靠性。

真正的瓶頸：人類判斷力

無論是軟體工程還是科學研究，核心問題其實相同。

AI 大幅降低了 生成內容的成本：

• 程式碼
• 研究假說
• 論文草稿
• 設計方案

但 評估這些內容的成本仍然很高，因為它依賴專業的人類判斷。

當生成幾乎變成零成本，而專家審查仍然稀缺時，系統就可能被大量「看似合理但不可靠」的輸出淹沒。

在軟體世界，這表現為漏洞與脆弱系統；在學術界，則可能變成大量低品質研究。

對企業與機構來說，真正的挑戰已不只是採用 AI，而是建立 審查流程、安全實務與治理機制，避免這波產出洪流最終變成一堆「Vibe Slop」。