AI 自动生成代码，是时候冷静下来思考如何保障代码安全了

作者：华为云PaaS服务小智

2023-06-30
广东
本文字数：1603 字
阅读完需：约 5 分钟

HDC 期间可参与华为开发者大会 Check 新人抽奖活动，活动链接在文末。

华为开发者大会 2023 将于 7 月 7 日与各位开发者进行见面，本次大会的主题演讲内容为：AI 重塑千行百业。

自从 AI 聊天被推出之后，其热度就一直是高居不下。身边的小伙伴们和其是什么都交流：日常聊天，国际局势，宇宙真理，人生哲学。。。最让人痴迷的就是，它真的什么都可以回答上来一点：

而对于研发小伙伴来说，自从用上了 AI 聊天，随便哪道 LeetCode hard 一遍 AC 就再也不是梦想：

甚至在有些项目开发中，遇到困难的时候，也会去交流一番：

AI 自动输出代码

随着越来越多代码带上了 AI 的思路与“影子”，身边小伙伴们也从一开始惊叹于人工智能语言处理工具强大的功能，自动输出代码的状态中渐渐冷静了下来。因为，既然 AI 自己就会写代码了，效率还这么高，那还需要我们程序员吗？想着想着，很多刚开始工作的小伙伴就会出一身冷汗，“这才刚毕业找到工作，就要开始担心失业了”？

但是，我们需要再冷静下来思考下，AI 当前强大能力的来源是什么？是在海量数据的基础上，持续进行着大量的训练，以此来构建出回答“某类问题”的模板，而 AI 自然语言交流工具则会基于这个模板/“规则”去回答大家的问题。别的场景我们暂且不论，在输出代码的场景下，遇到一些复杂的条件，往往我们会发现 AI 提供的代码和预期的结果是有偏差的；甚至我们得小心，会不会有人刻意去训练 AI，帮助其更“高效率”地输出一些恶意代码呢？而这些偏差和恶意，只有我们人类程序员借助各类工具，基于“真相”，才能对它们进行验证，确保这些代码是可信的。

因此，我们可以说，代码编写/软件研发的模式可能会因为 AI 的介入而发生转型（在问答间学习了更多的思路，受到启发诞生了更深度的想法，AI 更高效的输出代码），但是高质量有安全的代码还是需要人类的介入，也就是说，研发人员会永远被需要。

安全扫描代码

在写代码的场景，小错误会导致现网事故影响用户体验，大错误则会带来经济上的巨额损失等等。

那么 AI 带来的自动生成便利的同时，我们该如何保障它们的质量与安全呢？这时候，就需要工具来对其进行管控。只要能将 AI 的负面影响控制住，AI 也有可能像如今的互联网一样在生活中随处可见。

而这类工具，很万幸已然存在。

还是在那个需要苦苦思索思路，敲出行行代码的年代，开发人员就一直在有意或无意地生产问题代码。针对代码的质量与安全，SAST 静态应用安全测试应运而生。作为一种白盒测试，它能通过分析源代码来发现代码层面的质量问题与安全漏洞。因此，不管我们是编码者还是 committer，在面对自己写的/别人写的代码的时候，都应该使用好 SAST 工具对源代码进行扫描与管控，在编码阶段就找出漏洞。

工具推荐

华为云已于 2023 年 1 月正式推出 SAST 工具：CodeArts Check 代码检查服务，帮助用户有效管控代码质量。其提供的“代码编写-代码合并-版本发布”三层缺陷防护体系，针对代码的可读、可维护、安全、可靠、可测试、高效、可移植等方面进行全面的分析；支持海量源代码的风格、质量和安全检查，可实现百亿行大规模并行扫描，并提供完善的修改指导和趋势分析。

服务体验链接：1、CodeArts Check 云服务：https://auth.huaweicloud.com/authui/login.html?locale=zh-cn&service=https%3A%2F%2Fwww.huaweicloud.com%2Fproduct%2Fcodecheck.html%3Futm_medium%3Dhdc#/login2、CodeArts Check VSCode IDE 插件：https://marketplace.visualstudio.com/items?itemName=HuaweiCloud.codecheck3、CodeArts Check Jetbrains IDEA 插件：https://plugins.jetbrains.com/plugin/20956-huawei-cloud-codearts-check