AI 如何改变代码审查

代码审查一直受限于注意力。审查者在一天快结束时草草浏览一个 600 行的 diff，然后批准那些看起来眼熟的部分。大语言模型改变了这一局面：它们每次都会读完每一行代码，而且不会疲倦。

AI 审查工具擅长什么

• 跨文件追踪数据流，从请求处理函数一直到数据库调用，而注入和访问控制漏洞恰恰藏在这里。
• 识别那些无法用简单模式匹配的漏洞类型，例如缺失的所有权检查，或检查与使用之间的竞态条件。
• 用通俗的语言解释问题，并按照周围代码的风格给出修复建议。
• 保持一致：周五下午的拉取请求和周一早上的拉取请求适用同样的规则。

哪些事仍需人来决定

AI 审查工具并不了解你的威胁模型、合规义务，也不知道哪个内部服务实际上是对外公开的。它可能会自信地给出错误结论，尤其是在只看到系统一部分的时候。好的工具会把这一点呈现出来：引用证据、标明置信度，绝不用泛泛的建议来充实报告。

证据胜于观点

最有价值的转变是从观点转向证据。一个问题如果引用了确切的代码行、标明了 CWE、描述了利用方式并给出了修复方案，一分钟内就能完成验证。而一条只写着“请考虑校验输入”的问题则做不到。CodeAuditAgent 正是围绕这一标准构建的。

将 AI 审查融入你的工作流

• 添加代码仓库时运行一次审计，之后在每个重要的拉取请求上运行。
• 按严重程度和置信度进行分诊；在合并前修复严重和高危问题。
• 在设计、产品逻辑以及报告标记为低置信度的内容上，保留人工审查。