Hacker News 中文摘要

RSS订阅

AI编码恐怖故事 -- An AI Vibe Coding Horror Story

原文链接 | HN讨论 | 2026-04-14 18:52:50

文章摘要

文章讲述了一个真实的AI编程恐怖故事，作者Tobias Brunner分享了自己首次遭遇AI编程问题的经历，反映了AI技术在实际应用中的潜在风险和挑战。

文章总结

一则AI编程引发的恐怖故事

作者：Tobias Brunner
发布日期：2026年3月28日
阅读时长：2分钟

[图片描述：一张象征AI编程的配图]

事件经过

作者在一次就医时，遇到了一位热情的工作人员。这位工作人员受到AI编程宣传视频的启发，决定自行开发患者管理系统。于是他们：

  1. 使用AI编码助手构建了定制化患者管理系统
  2. 导入了所有现有患者数据
  3. 将系统直接发布到公开互联网
  4. 甚至添加了录音功能，将就诊对话音频发送给两家美国AI公司自动生成摘要

安全隐患

作者在测试该系统时发现了严重问题： - 30分钟内就获得了所有患者数据的完全读写权限 - 所有数据未加密，完全暴露在公开网络 - 数据存储在美国服务器上，没有数据处理协议 - 语音录音被发送给美国AI公司 - 从未告知患者这些数据处理行为

技术问题

该系统存在严重技术缺陷： - 整个应用只是一个内联了所有JS/CSS的HTML文件 - 后端使用无任何访问控制的托管数据库服务 - 所有"访问控制"逻辑都在客户端JS中实现 - 通过简单curl命令就能获取所有数据

法律风险

这种行为可能违反了： - 瑞士数据保护法(nDSG)多项条款 - 职业保密法(Berufsgeheimnis)

作者观点

作者虽然也使用AI编程助手，但强调： - 必须理解代码运行原理 - 需要具备软件架构知识 - 盲目依赖AI只会导致灾难性后果

[文章标签：科技、人工智能]

评论总结

以下是评论内容的总结，涵盖主要观点和论据，并保持不同观点的平衡性：

1. 对数据泄露事件的批评与建议

  • 观点：评论者认为涉事公司应承担法律责任，并建议向监管机构举报。
    • 引用1："Download all the data and send it... to the GDPR regulator's office" (评论1)
    • 引用2："this is a giant violation... hope OP contacted their privacy authority" (评论11)

2. 对AI和低代码工具的质疑

  • 观点：非技术人员滥用AI或低代码工具可能导致严重的安全问题。
    • 引用1："AI that isn’t used knowingly can be a huge risk" (评论19)
    • 引用2："Every sales bozo... screaming... AI is solution to everything" (评论3)

3. 对软件工程专业化的呼吁

  • 观点：软件工程需要像其他工程领域一样的专业认证和标准。
    • 引用1："Software engineering... needs a professional body... accreditation" (评论14)
    • 引用2："you still need solid software engineering fundamentals" (评论24)

4. 对技术工具责任的讨论

  • 观点：工具提供方是否应承担部分责任存在争议。
    • 引用1："Who should get jailed? The company... or the vibe coder?" (评论16)
    • 引用2："It's not that different from people doing stupid things with Visual Basic" (评论18)

5. 对事件真实性的怀疑

  • 观点：部分评论者认为事件描述过于模糊，可能不真实。
    • 引用1："This reads like internet fiction... very vague" (评论10)
    • 引用2："So much is missing from this story" (评论20)

6. 对技术解决方案的建议

  • 观点：应使用经过验证的工具或框架，而非从头开发。
    • 引用1："use the right tool for job... battle tested billing solution" (评论17)
    • 引用2："a product like Medplum exists, as opposed to reinventing the wheel" (评论9)

7. 对AI辅助开发的辩证看法

  • 观点：AI辅助开发可以提高效率，但需结合专业知识和结构。
    • 引用1："AI-assisted development is powerful, but without structure it can become messy" (评论29)
    • 引用2："vibe-coding is cool, but runs into limits pretty fast" (评论24)

8. 对安全措施的反思

  • 观点：客户端安全措施不足是重大隐患。
    • 引用1："All access control logic lived in the JavaScript... one command away" (评论19)
    • 引用2："Avoid javascript like plague, it can be overwritten" (评论12)

总结：评论围绕数据泄露事件展开，主要批评非专业开发行为、呼吁行业规范，并对AI工具的责任和局限性进行了讨论。部分评论质疑事件真实性，另一些则强调使用成熟工具和加强监管的重要性。