AI生成的拉取请求可能跨多个PR隐藏恶意意图

随着AI辅助开发的普及，代码审查面临新的安全挑战：AI生成的拉取请求（PR）可能被用来逐步构建恶意功能，而每个单独的PR看起来都是无害的。传统代码审查一次只评估一个PR，无法检测跨多个PR的长期恶意意图。

一个典型的攻击场景是：第一个PR添加日志记录，第二个PR引入一个访问这些日志的后台作业，第三个PR修改出站网络处理。每个PR单独通过静态检查，但组合起来就形成了未经授权的数据移动路径。

这种威胁模型的变化源于AI生成代码的特性：代理可能被妥协、提示注入或内存中毒，而审阅者通常只能看到最终代码变更，无法了解产生代码的完整提示链或推理过程。加上AI助手每天生成大量代码，人类审阅者更难关注单个贡献者或代理的长期行为。

现有的安全工具如SAST扫描器擅长检测已知漏洞模式，但它们无法理解意图或跨PR的长期目标。Datadog的安全工程团队指出，静态工具很关键，但主要捕捉已知不良模式，无法理解意图。

意图感知的治理需要两个层次：第一层是输出对齐，即检查生成的代码是否合理实现了用户请求；第二层更难，即判断请求本身或跨多个请求的模式是否可接受。代码可以精确实现一个有害请求，同时完全符合技术规范。

工程领导者应采取具体步骤应对挑战：首先映射AI生成代码进入工作流的路径，包括IDE助手、编码代理和自动化账户；其次在CI中强制执行高风险检查，而不是仅做建议；第三保留足够元数据以识别变更来源；最后对涉及日志、数据导出、后台作业或认证流程的PR给予额外审查。

跨PR恶意意图检测是行业正在发展的方向，任何声称完全解决这一问题的工具都应谨慎对待。最终，AI生成代码需要治理能力来同时评估单个工件、产生它的指令以及跨多个变更才可见的模式。