91%的测试绿灯，25%的安全刹车，AI编码代理的结构性错配

“你猜这个代理能过多少测试？”

朋友把笔记本转过来，屏幕上是一个跑完的 CI 流水线，绿色对勾排了一整排。他做了十二年后端，现在半条命交给 AI 编码代理。我看了眼通过率，九成出头。他又点开另一个标签页，是安全扫描报告，红色警告密密麻麻。

“测试全过。”他说，“但我不敢让它碰生产库。”

这个场景我记了很久。它比任何一份行业报告都更直接地说明了今天的问题所在。

91% 的绿灯，25% 的刹车

LSCBench 这个基准测试给出的数字很扎眼：AI 编码代理通过测试的比例是 91%，但真正具备安全性的只有 25%。Tech-Insider 报道了这组数据，同时引用了 JetBrains 的调查——90% 的开发者每周至少用一次 AI 编码代理。

这两个数字放在一起看，构成了一幅相当微妙的图景。九成的开发者已经把代理请进了日常工作流，但代理交付的代码里，四分之三在安全维度上是不合格的。

我一开始以为这只是“工具还不成熟”的老问题，等等就好了。后来发现不是。测试通过率高，恰恰是因为代理被优化去“让测试变绿”——它擅长的是满足显式断言，而不是理解隐含约束。安全漏洞大多不在断言里，它们在断言之外。

这就是结构性错配。你训练一个东西去追绿灯，它就追绿灯，绿灯之外的世界它看不见。

Chrome DevTools 153 和 154 两个版本的动作很说明问题。调试工具开始默认假设 AI 代理也可能是使用者——代理会读 DOM、会设断点、会记录性能追踪。于是工具本身加了面向代理的权限控制和执行限制。VS Code 也在做类似的事。

工具厂商比开发者更早承认了一件事：代理已经进来了，拦不住，那就先装护栏。

坦白说，看到 DevTools 加代理权限控制的时候，我有点意外。浏览器调试工具向来是“给人用的”，现在要开始区分“这条指令是人发的还是代理发的”。这个转变比很多宏大叙事都更能说明代理渗透的深度。

多代理协作，先把记忆问题解决了

同一天里还有两条消息值得放在一起看。Thenvoi AI 推出了 BAND for Developers，用来协调跨工具、跨机器、跨代码库的多 AI 编码代理。第二天，腾讯混元开源了 Hy Memory 2.0，给代理提供持久记忆框架。

两家公司、两个方向、相隔一天，都在回应同一个痛点：当你手下不止一个代理的时候，它们彼此不知道对方干了什么。

这听起来像个工程细节，其实是安全问题的放大器。单个代理跑偏，你还能靠人 review 兜住。五个代理并行改同一个代码库，各自带着不完整的上下文，谁改了什么、为什么改、改完有没有引入新依赖——这些信息如果不在代理之间流通，最后合并出来的东西就是一锅粥。而粥里的安全漏洞，没人认领。

多代理协调工具和持久记忆框架，表面是效率工具，实际上是在给代理团队装“行车记录仪”。

我认识一个做基础设施的团队，上个月试着让三个代理并行处理三个微服务的重构。效率确实上去了，两天干完原来一周的活。但合并的时候发现，两个代理各自引入了一个功能重叠的第三方库，版本还不一样。修这个问题花的时间，比省下来的还多。

这不是代理笨。这是协调层缺位的必然结果。

联邦退场之后，谁来踩刹车

把视线拉远一点，监管层面正在发生的事让上面这一切更值得警惕。Bloomberg Law 报道，特朗普政府对 AI 监管采取不干预态度，理由是避免抑制创新、避免让外国对手获得战略优势。联邦层面往后退，焦点转向了州级监管机构。

联邦不踩刹车，州级各自为政，企业夹在中间。

这个局面和编码代理的安全问题，本质上是同一件事的两面。当外部约束缺位的时候，约束就只能来自内部。 开发者得自己决定：代理能碰哪些文件、能调哪些 API、合并前必须过哪几道安全检查。

我之前的判断是“等监管跟上就好了”。现在我觉得这个想法太懒。监管跟上的速度，永远追不上代理迭代的速度。联邦退场只是把这个时间差摆到了明面上。

那怎么办？我看就三条，而且都不新鲜，只是需要被认真执行：

第一，把安全扫描做成代理流水线的硬门禁，而不是事后报告。 91% 的测试通过率如果没有 25% 的安全率做闸门，就是虚假繁荣。

第二，多代理协作必须先解决上下文共享，再谈并行。 BAND 和 Hy Memory 2.0 这类工具出现的时机不是巧合，它们是并行化的前置条件，不是锦上添花。

第三，开发者要接受一个新角色：代理的行为审计员。 你不再只是写代码的人，你是判断“这段代码是谁写的、它为什么这么写、它有没有越界”的人。

写到这里我自己也觉得，这三条听起来像正确的废话。但你去看看那个 25% 的数字，就知道废话之所以是废话，是因为没人当真去做。

代理跑得比安全快，这是事实。刹车装不装，装在哪，什么时候装——这个决定权目前还在写代码的人手里。等它不在的时候，就晚了。

我那个朋友最后说了句话，我一直记着：“测试全过的时候最危险，因为你以为没事了。”