freeCodeCamp.org ·

如何用策略即代码与OPA治理AI生成的基础设施 [完整手册]

💡 原文英文，约7900词，阅读约需29分钟。

📝

内容提要

AI生成代码语法几乎全对，但安全通过率仅56%，约44%的任务引入漏洞。多项研究一致表明，AI辅助反而让开发者写出更不安全的代码，且更自信。基础设施代码风险更高，错误配置不会报错。文章主张用Policy as Code（Rego、OPA、CEL）自动检查Terraform计划与Kubernetes准入，并让AI编写策略、由测试和工具链验证。

🔎

延伸解读

AI生成代码的安全盲区

文章引用多项研究指出，AI生成代码语法几乎全对，但安全通过率仅56%，约44%的任务引入漏洞。更关键的是，斯坦福实验发现使用AI助手的开发者写出更不安全的代码，却更自信。这意味着传统依靠开发者警觉来发现问题的机制被工具关闭了，基础设施代码尤其危险，因为错误配置不会报错，只会静默生效。

策略即代码的落地路径

文章主张用Policy as Code自动检查Terraform计划与Kubernetes准入。具体工具包括Rego、OPA和CEL。核心思路是把组织规则写成计算机可检查的程序，在每次变更时自动执行。文章通过一个真实漏洞仓库演示了从编写测试、实现策略、生成退出码到准入控制的完整流程，并强调策略本身也需要像应用代码一样测试和格式化。

让AI写策略但由工具链验证

文章提出一个关键反转：人类编写测试，AI编写策略。因为测试夹具具体且易于审查，而Rego嵌套推导式难以阅读。验证通过子进程运行opa check和opa test，模型不被询问策略是否正确，只有工具链的退出码被接受。失败时原始错误信息回传给模型修复，但重试不保证单调改进，因此需要限制重试次数并持续扩充测试套件。

准入控制与代理治理

文章指出CI门禁只能检查计划中的变更，无法拦截kubectl apply或Helm chart。Kubernetes的ValidatingAdmissionPolicy自v1.30起GA，用CEL在API服务器内评估，无需webhook。对于AI代理，每次工具调用都应成为授权决策，行业趋势是在网关处用策略引擎拦截，而非依赖系统提示词。文章强调策略在系统提示词中不是执行，执行是调用路径中的拦截器。

❓

Q&A

AI生成的代码安全吗？为什么说语法正确不代表安全？

AI生成代码的语法几乎100%正确，但安全通过率仅56%，约44%的生成任务会引入漏洞。功能正确性和安全性是两个独立问题，只有语法接近解决。多项研究（Veracode 2026、NYU 2022、Georgetown 2024、Stanford 2023）一致表明AI辅助反而让开发者写出更不安全的代码，且更自信。

什么是策略即代码（Policy as Code）？它如何帮助治理AI生成的基础设施？

策略即代码是将组织已商定的规则写成程序，输入提议的变更并返回决策。它用Rego、OPA、CEL等自动检查Terraform计划和Kubernetes准入，让AI编写策略、由测试和工具链验证，从而在每次变更时自动检查基础设施代码，避免错误配置。

如何用OPA和Rego编写策略来检查Terraform计划中的安全组违规？

首先用terraform show -json生成计划JSON，然后编写Rego策略（如network.rego）将四种ingress形态归一化为exposures集合，检查管理端口（22、3389等）是否对公网开放。用opa test测试策略，opa eval评估计划，最后通过退出码（0通过、1违规、2空洞或损坏）集成到CI。

在Kubernetes中如何用CEL实现准入控制来阻止不合规的工作负载？

使用ValidatingAdmissionPolicy（v1.30起GA），在API服务器内用CEL评估，无需webhook。例如要求镜像来自可信仓库，需检查所有容器列表（包括initContainers和ephemeralContainers），通过ValidatingAdmissionPolicyBinding激活，可先以Warn/Audit模式试点再切换为Deny。

如何让AI模型编写Rego策略并确保其正确性？

采用反馈循环：人工编写测试，模型编写策略，用opa check --strict和opa test验证，失败时将原始工具输出反馈给模型修复。模型常生成过时的Rego v0语法，需通过工具链纠正。只有通过测试的策略才写入磁盘，且应视为需人工审核的PR。

如何用策略引擎治理AI代理的工具调用？

在工具调用路径中设置拦截器（如OPA sidecar或Bedrock AgentCore Policy），每次调用前评估授权策略。策略可返回三值决策（允许、拒绝、需人工批准），例如agent/authz.rego中定义工具授权和退款上限，确保系统提示中的策略不是真正的执行。

🏷️