「否则 AI 都是顺着你思路给你吹捧可行性」
你可以明确让 AI 寻找负面的点来跟你掰头。

什么情况都有可能被封号，所以别把没有备份的数据丢在上面。

@AItsuki #42 我很久没有自己写大段代码了。基本上我能力范围之内的，AI 都可以做得比我好。大概 2 年前组里要设计一个工具，我把初步想法喂到 Gemini 以后让他产出了初步架构，然后我把架构丢进现在的系统里稍微调调改改就交上去了，同事看了直说设计牛逼。后来就很少自己写了，就算公司还没正式引入 AI 的时候我也是找免费的 AI 用脱敏需求先做初步设计，然后再喂到公司代码里实现。

然后最近在做远超我能力的一个项目，我之前在论坛里也提过，是写一个反编译器，这个我一窍不通全靠 AI 自己设计实现。迭代了很多次，主要是架构上的问题，现在大概在第 5 版左右吧，还有些小毛病要修，但是已经有模有样了。除了 token 贵以外我觉得都不是问题。而且完全不需要我去看代码，只要在 AI 开始遇到一个 bug 修一个 case 的时候让他重构架构就行。Codex 实现能力很强，Gemini 挑刺很熟练，Claude 公司还没引入所以测不了。所以我就每隔一段时间让 Codex 设计功能，然后让 Gemini 去挑刺和审查，再让 Codex 去评估修改，反复几回合生成接下来的任务列表，再照着做就行了。

最重要的就是测试。我这个反编译器大概 1000 多个测试用例，涵盖了各种来源的各种代码例子。就算他代码写得烂又如何，测试都能跑通，也基本剩不下多少 bug 了。

@AItsuki 控制欲没有什么问题，你完全可以先让 AI 写出大致结构，然后在结构上调整。
设计→代码的过程应该已经不需要人类去看了，像是 superpowers 这些 skill 都会主动要求 AI 做 TDD 然后完成实现，实现细节上一般不会有太大的毛病。
从我最近看到的问题来看，要么是架构需要翻新重做，但 AI 执着于小修小补，这种建议打断然后换一个模型，告诉他他的竞争对手模型拉了一坨，让他修。再有就是可能因为测试覆盖不全面，导致代码修改的时候没有考虑各种边界条件。这种只能在设计的时候提前和他对齐，再让他实现了。

brainstorming 前期工作要做好。
你就当自己是项目经理，底下有十个干活速度飞快的应届生，你怎么用他们写出公司项目。

我们部门现在就是要求所有人都全部用 AI 写，基本禁止手写代码。

@bingoAI 我们就是纯 AI 出代码然后上生产，人类就做个 code review 。

没咋变，就是裁了 20%的人，剩下的人接班他们的工作而已。

你是说，愿意给员工十万月薪的老板，不肯直接公司买订阅给员工用？
你是说，一个公司里能有本事拿到十万月薪的高管员工，说开就开？
你是哪个国家来的外宾？

切换到 Thinking 模式以后好像就没问题了：

===== AI =====
我会核对这段说法的准确性，尤其是 Lua 5.1 与 5.2+ 对 ... 是否能被内部闭包引用的差异。

已思考 1m 37s

这段内容里有一处关键错误：“Lua 5.2+：vararg 可以被内部闭包引用”不对。

在标准 Lua 5.1 、5.2 、5.3 、5.4 里，下面这种写法都不合法
===== AI =====

@mercury233
学习了，看来这些模型在这些知识上都不太稳定，前面和 gpt 聊说可以，现在重开了一个窗口又说不行了。

@mercury233 我拿你的例子问了一下，没有准确复现。问了原因：


===== AI =====
实际上有个历史细节：

Lua 5.0：arg 表
Lua 5.1：... 不能像普通 upvalue 那样被嵌套函数直接捕获，因此常见写法是先 {...} 保存
Lua 5.2+：vararg 可以被内部闭包引用

所以如果你是在 Lua 5.1 环境（很多游戏、OpenResty 老版本、Redis 嵌入 Lua 等），下面这段会报错：

function outer(...)
　 return function()
　　 print(...)
　 end
end

错误类似：

cannot use '...' outside a vararg function

而在 Lua 5.2+ 则是合法的。

所以关键问题其实是：你用的是哪个 Lua 版本？ 如果是 5.1 ，我前面给出的 f(target, ...) 写法确实不成立；如果是 5.2 及以后版本，则完全没问题。
===== AI =====

以上是 5.5-instant 的答案。

先说测试覆盖率多少

一个年亏损不止 140 亿美元的公司，大家还觉得他不够慷慨……

不是，挖洞的前提是你得有洞啊，一个设计精良且没什么攻击面的项目丢给 AI ，你指望他能挖出什么来。
但是你想想外面那些闭源项目呢。别的不说，光一个 Windows 或者 Office 就能挖出多少洞来？
我司已经把之前的 monthly patching 转成 weekly patching 了。找到的漏洞不算很多，但应该在 3 位数-4 位数这个量级上，大多数是低危漏洞，但也不排除会有一些高危的。

还有像 Linux 这样的大项目，每个组件之间肯定实现质量有差别，最近挖出来的几个大洞都是用的人少但炸得大的。

不对，完全不对。
我之前做一个项目就是先用 python 或者 ruby 糊一个 mvp 出来验证可行性，通过以后再切到 java 上重新设计架构实现。
至于代码不能超出理解范围，那对于简单项目可行，复杂的就别想了，大部分人都没到那个水平。

只要你问，那就是别分。
因为分区的人知道自己有需求，根本不会问，自己就分好了。你问，说明你没硬性需求。

@w568w 其实不是 2051 个主机，只是 2051 个记录，实际服务器数量比这个大概多 2 个量级，但我们实际会连接的服务器比较少，只是不同区域的跳板机通配符匹配规则都写在里面所以量很大。所以这就是个「 ssh config 主机记录与实际使用的主机列表不符合」的场景了。
我这边没有专门的可以发起连接的堡垒机，都是从笔记本上直接用自己 yubikey 鉴权连接 3 层跳板机一路进到内网环境里。我的需求确实小众就是了。

@w568w 那我觉得这确实很不方便了。我 ssh config 里还有很多不常用的主机设置，其他公司的跳板机之类的，刚刚用你的 grep 命令看了一下，匹配 2051 条。所以给我的感觉是，你说你一直没搞懂为什么远程连接需要专门的工具，是因为你的需求没有复杂到需要一个专门的连接管理器，你只需要通过借用 ssh config 的方式把配置文件通过 grep 和文本编辑器当成一个简陋版的连接管理器就足够你用了。
实际上像 xshell 这类软件自带的连接管理器并不只是简单地读取 ssh config 然后点击。比如我可以给不同的服务器设置不同的颜色甚至字体，我 codex remote 服务器需要用中文交互所以要用大字号中文字体，而普通的生产服务器则是小字号英文字体。
实际上如果除开连接绑定的外观设定，只考虑保存主机名和 IP 的话，或许一个简单的 yaml 文件加一个命令行工具也就足够用了，至少不会被 ssh config 里的既有设定干扰。

说个笑话，tabby 自带一个从 ssh config 里导入连接的管理器插件，每次都会去解析我几千条跳板机记录，而且是每次点开菜单就当场解析一次，而且解析速度巨慢，然后我点哪里都要花几十秒才会有反应，后来进设置把导入连接的插件杀了才正常。

@w568w 比如说我为某个组织工作，他们在东京和大阪各有 2 台服务器，在美东美西各有 2 台，欧洲的好几个国家各有几台，并且每个都有自己在系统里专属的 hostname 。那我 config 里怎么配置，都配置成 companyA-1 到 10 吗还是我把所有的 hostname 都背下来。

哦，这不是我瞎掰的，因为我服务的一个组织就有这样的服务器结构，而我同时在给不少组织或公司工作，所以我觉得一个连接管理器是很有必要的。相反我倒是不知道你们是怎么把那么多服务器全编成 officeN 然后全记住的……我现在 xshell 列表里几十台服务器，这咋编啊……