AI審查沒報錯，能放心嗎

先看它拿到了什麼

審查上傳函式時，AI 未必拿到了儲存權限或反向代理設定。這些內容不在上下文裡，它沒有提醒檔案可能被公開存取，就不能算檢查通過。

GitHub 的官方說明也列出 AI 分析可能漏檢及誤報的限制。保留提交版本、審查檔案和工具輸出，不要把空白的評論區當成安全核准。

告警也需要證據

看到疑似漏洞，先問受影響入口、成立條件及安全的驗證方法。缺少這些細節的分析，即使讀起來合理，也仍是待核實的線索。在已授權測試環境使用虛構資料，記錄預期與實際行為。

判定誤報也要留下理由：為什麼排除，什麼變化會讓這項判斷不再成立。部署版本或設定改變後，舊結論可能無法沿用。

補丁合併了，還沒結束

合併前讀懂補丁，執行相關回歸檢查，並確認哪個版本已部署到目標環境。AI 可以協助擬定修復方案，實際執行結果才是驗證修復的依據。

委託服務時，將程式碼審查與外部檢測分開確認。Mingxi 標準公網檢查不包含原始碼稽核或業務邏輯測試。未發現問題的結果，也只對應約定範圍和檢測時間。

執行清單

• 保存審查版本和上下文範圍。
• 區分疑似問題與已驗證發現。
• 記錄排除誤報的理由。
• 驗證已部署修復，不只看補丁。

常見問題

換另一個 AI 再看一次能確認安全嗎？

第二次審查可能提出有用的問題，但兩個模型判斷一致，不等於有獨立的執行證據。仍應在授權範圍內驗證相關行為。