我大量用 AI,机器依然伤不了人

2026年8月3日

我在工作中大量使用 AI——而每次让它审查它自己写的代码,它总能再找出新 bug。停在这个事实上想一秒:基于概率的 AI、巨大的编码产能,和一个"一个 bug 就是人机风险"的物理世界。不用 AI,生产力会被代际碾压;用它,每一轮都带着风险。这怎么权衡?

AI安全关键我怎么想类型系统

想明白的那一刻:bug 我永远修不完

我修 bug,是因为我知道它们在那里。而我不知道的东西——我没有任何办法知道。这意味着 bug 我永远修不完。AI 也一样:它只是找到另一个修不完的子集。所以答案不可能存放在任何人的警觉里——无论是我的,还是模型的。

别用自己的认知去修 bug。相反,给"机器可能出的错"分类:

一类一类地,像 Java、Go、Rust 的类型系统那样建硬校验:类型不对,就不许动。软件总有一天会出错——设计的职责,是确保"出错"没有任何能力升级成"伤害"。

一旦闸门存在于一个我和模型都无法编写、也无法绕过的层里,AI 的生产力就可以安全地收割:我大量用它,用在非核心处,用在我的决策之后。分工是明确的——AI 生成,我决策,闸门执行。安全,从此不再取决于某个星期二谁有多小心。

你买的不是"用 AI 还是不用 AI",而是一个为结果扛责任的人:哪些风险开工前就大声说出来,哪些被设计剥夺了作恶的能力,哪些暂时不值得修——一个 UI 闪烁,会被讲清影响范围,排进交付后的时段。这份工作上,签着我的名字。

闸门不是比喻——它就在这里,跑着的。一个公开仓库实现的正是这一层:指令按后果分类、每类配硬前置条件,执行机构被私有地封在它后面,于是调用方根本没有可绕过的东西。八次破坏尝试、八次拒绝,每次推送都由 CI 强制。正是这东西,让我可以放心把 AI 大量用在其余一切上。 代码 →

写自真实的力控机器人工作;所有客户、供应商与产品细节均已移除。并且秉承本文的精神:这一页有 AI 帮我写——思考是我的。

这是三部曲里"个人实践"的一篇。方法全文:工业可靠性:换掉分母。宏观论证:当"造东西"变免费,价值去了哪。

如果你造的机器需要一套界面、一个设备连接,或者数据必须落到别处去——告诉我它现在正让你付出什么代价。你会得到一个诚实的判断:能不能解;通常还会收到一个能跑的东西。从这里开始 →