为什么仅靠Linting无法治理代理式开发
内容提要
AI代理正改变软件开发，能快速生成大量代码，但需验证确保可靠价值。Linting提供即时反馈，但需结合控制流、数据流分析、依赖扫描、秘密检测等深层检查，覆盖安全、架构和维护性。通过设计验证流程，平衡速度与质量，代理才能高效工作，团队才能构建持久系统。
延伸解读
验证流程需与变更规模匹配
文章指出，代理生成代码的速度和规模远超传统开发，但仅靠linting无法覆盖跨文件、跨系统边界的行为问题。例如，未经验证的值可能经过多次调用后才到达数据库查询或认证决策，这类问题需要控制流、数据流和污点分析等深层检查。团队应根据变更的影响范围设计分层验证：快速检查留在代理内部循环，深层分析聚焦安全敏感路径和关键业务流。
安全边界扩展至代理生态
代理开发不仅生成第一方代码，还可能引入依赖、配置变更、管道更新，甚至暴露秘密。文章强调，安全边界已从应用源码扩展到工具、包、配置和指令等塑造代理行为的元素。因此，依赖扫描、秘密检测和配置审查应成为验证流程的一部分，以自动化方式匹配代理生成的速度，防止安全风险在快速迭代中蔓延。
可维护性是代理生产力的基础
代理在有限内存中难以保持代码库的完整上下文，因此清晰架构和显式约束能提供更好的问题地图，帮助代理做出更优选择，也便于开发者审查。文章指出，维护良好的系统支持更有效的代理，而有效代理又创造改进系统的能力，形成良性循环。忽视长期健康会导致重复逻辑和架构侵蚀，最终拖累代理效率。
Q&A
为什么仅靠Linting无法充分治理代理式开发？
因为Linting主要检查语法、格式和常见错误，无法覆盖控制流、数据流、依赖安全、秘密检测等深层问题，这些对于确保代理生成代码的正确性、安全性和可维护性至关重要。
在代理式开发中，除了Linting，还需要哪些验证手段？
需要控制流分析、数据流和污点分析、依赖扫描、秘密检测、架构检查、测试以及人工审查等，以覆盖行为、安全和架构等方面。
代理式开发中，为什么控制流和数据流分析很重要？
因为代理生成的代码可能在单个函数中看似合理，但跨函数或系统边界时可能存在未验证的值传递或不可达分支等问题，控制流和数据流分析能追踪程序执行路径和数据流动，发现这类整体性问题。
代理式开发中，安全验证的范围包括哪些？
安全验证不仅包括应用源代码，还包括依赖项、配置、管道更新以及可能暴露的秘密，需要扫描依赖风险、检测秘密泄露，并将工作流配置视为安全相关部分。
代理式开发如何影响软件的可维护性？
代理能快速生成大量代码，可能加速重复逻辑、不必要复杂性和架构违规的积累，因此需要评估变更对系统长期健康的影响，维护清晰架构和可控复杂度。
如何设计验证流程以平衡代理开发的速度与质量？
在代理生成代码前提供相关上下文和约束，将Linting保留在内部循环中提供即时反馈，随着变更规模和影响增加应用行为、安全和架构检查，并使用质量门和审查实践验证最终结果。
