坤霆@全栈技术研究室

前两天看到一条资讯，说的是某制造企业把老师傅十五年的质检经验，通过一套录制系统喂给了AI模型。三个月后，新来的实习生拿着平板对着工件拍张照，AI就能给出和老师傅几乎一致的判断——有没有裂纹、公差是否超标、能不能放行。

效率提升是真的。培训周期从两年压缩到两周也是真的。

但没人问过老师傅的感受。

一个在某个领域泡了十五年才沉淀出来的判断力，现在被一个录制按钮和三个月的实习期就复现了。这件事在技术圈被当成"AI赋能传统行业"的成功案例来讲，但如果你换一个角度看，它指向了一个更深层的问题：当经验可以被一键提取，"教会徒弟"这件事的底层逻辑变了。

被压缩的不是知识，是积累过程

过去，专家的价值不只在于"知道答案"，而在于"知道为什么"。一个资深工程师看一眼日志就能定位问题，不是因为背过所有错误码，而是因为他踩过足够多的坑，知道什么条件下会出什么问题。这种判断力很难通过文档传递，只能在实战中一点一点磨出来。

这就是所谓的隐性知识——说不清道不明，但在关键时刻值千金。

AI改变了这个传递路径。不需要师徒制，不需要十年磨一剑，只要给模型足够多的决策记录，它就能在极短时间内提取出模式。而且它不吃饭、不离职、不需要情绪管理。

你有没有过这种感觉——走进一个房间，抬头就看到一个黑色的小圆球对着你。

家里的智能摄像头、公司的安防系统、小区门口的人脸识别，它们无处不在。不管你怎么说服自己"又没做什么亏心事"，那个镜头始终让你不太舒服。

我也一样。所以当我上周在 GitHub 上看到一个叫 RuView 的项目时，愣了好一阵。

这个项目做的事情很简单也很颠覆：用普通 WiFi 信号来感知你的存在、呼吸频率、心率，甚至能做姿态估计和跌倒检测。不需要摄像头，不需要穿戴任何设备，一颗 9 美元的 ESP32 芯片就够了。

WiFi 怎么"看"人

先别急着觉得这是科幻。

WiFi 信号本质上是一种射频电磁波。它在房间里传播时，会被人体吸收、反射和散射。你站在 WiFi 路由器和接收器之间，信号就会产生可测量的变化。通过分析这些变化——技术上叫 CSI（信道状态信息）——可以推断出空间里正在发生什么。

这个方向学术界已经研究了十几年。2015 年 MIT 的 RF-Capture 就展示过用 WiFi 信号追踪人体姿态；后来的 DensePose、MultiFormer 不断刷新精度。WiFi 感知在学术圈不算新鲜事。

最近几个月，一个趋势在我身边越来越明显：团队里用 Cursor、Copilot、Claude Code 的人越来越多，但大家聊的不再是"AI 生成的代码有多好"，而是"review AI 代码有多累"。

一个同事上周跟我吐槽：以前 review 同事的代码，至少能理解他的思路，知道为什么这么写。现在 review AI 生成的代码，逻辑上没毛病，但总觉得哪里不对——命名风格不统一，错误处理过度防御，有些地方用了团队从没用过的设计模式，还有些地方莫名其妙地绕了一圈。

他说了一句让我印象很深的话："我感觉自己不是在 review 代码，是在面试一个永远不累的实习生。"

这句话点破了一个很多人还没意识到的事情：AI 编码工具正在把工程师的核心工作从"写代码"变成"审代码"，而大部分团队还没有为这个转变做好准备。

代码审查量在暴增，但审查能力没跟上

先说一个最直观的数据。Cursor 官方说他们的用户已经有超过 50% 的代码是 AI 生成的。我自己团队的感受也差不多——一个中等复杂度的需求，以前可能写两天，现在用 AI 辅助，大半天就能出初稿。

但"出初稿"和"能上线"之间，隔着一道巨大的鸿沟。

一个真实场景

某个周一早上，安全团队收到告警：一个客服账号在周末两天内导出了5000条客户记录。排查下来，这个客服在9:00正常登录系统，角色权限允许查看客户信息。到10:00，他已经批量导出了大量数据；10:15，这些文件被转发到了他的个人邮箱。

安全团队的结论是："用户具有相应权限。"

这句话才是问题所在。客服确实有查看客户记录的权限，但他的正常工作模式是一天处理20个工单，每次查看一两条记录。两天导出5000条数据，完全不在正常行为范围内。这个偏差，本应在操作发生的那一刻就被系统捕捉到，而不是等到事后审计。

登录时的授权为什么不够用

大部分系统的授权模型是这样的：用户登录时验证身份，根据角色分配权限，之后在会话期间的所有操作，都默认信任那次登录的授权结果。

这个模型在过去是够用的。系统部署在内网，用户在公司电脑上操作，数据访问模式相对固定。但在云环境下，这套逻辑开始松动。

原因很直接：登录时的授权只解决了"能不能做"的问题，没有回答"该不该做"。

上个月，我们默默地把三个微前端子应用合并回了两个。没有发公告，没有写技术复盘，就是安安静静地把代码挪了回去，删掉了两个仓库，关掉了四条CI流水线。

如果有人在半年前问我"微前端到底好不好"，我大概率会给他列一堆优点：独立部署、技术栈无关、团队自治。但现在我的回答变了：看你的团队到底有没有拆的必要。

这个判断听起来像废话，但我见过太多团队在这件事上栽跟头，包括我自己。

拆的时候有多爽，合的时候就有多痛

故事的开始总是相似的。一个大型前端项目，十几个开发者在同一个仓库里撞来撞去，merge冲突是家常便饭，发版节奏互相牵制。有人提了微前端，方案评审会上大家眼睛都亮了——每个团队自己的子应用、自己的发布节奏、自己的技术栈，互不干扰，多美好。

我们也是这么想的。2024年初，基于qiankun把主应用拆成了五个子应用，按业务域划分。前半年确实爽：团队A改了代码不用等团队B review，团队C想用新版本的React自己升，团队D甚至单独搞了一套构建流程。

问题是从第二年开始集中爆发的。

最近有个趋势越来越明显：前端工程师看着 Copilot、Cursor 生成的 UI 代码，开始焦虑自己是不是要被替代了。

我觉得这个焦虑方向搞错了。真正值得关注的事情，不是 AI 写的代码比你好，而是 AI 可能根本不需要写代码了。

谷歌刚发布的 A2UI v0.9 就是这个方向上的一步。A2UI 全称 Agent-to-UI，是一套与框架无关的标准，让 AI 智能体声明 UI 意图，由 Web、移动端、桌面端原生渲染。关键词是"声明意图"——AI 不需要生成 HTML、CSS 或组件代码，它只需要说"我需要一个什么界面"，平台自己搞定渲染。

这件事值得认真聊聊。

AI 生成代码的真正问题，不是代码质量

现在 AI 写前端代码的方式，本质上是"生成一堆代码，人来兜底"。Copilot 也好，Cursor 也好，甚至那些号称能生成完整页面的工具，都在解决同一个问题：怎么让生成的代码能跑起来。

但跑起来只是最低标准。在生产环境里，一段前端代码要真正"能用"，得跟已有系统严丝合缝地集成：用团队的设计系统、符合品牌规范、支持无障碍访问、不超标性能预算、跟现有状态管理兼容、能扛住国际化。

上周看到一个案例，震得我好一阵没缓过来。

一家三个人的小公司，AWS 月费常年维持在十几美元的水平。某天早上，创始人打开邮箱，发现一封来自 AWS 的账单提醒——单日费用 1.4 万美元。不是月度，是单日。

排查的结果更让人窒息：一个 EC2 实例上的静态密钥不知道什么时候泄露了，攻击者拿着这个密钥大量调用 Bedrock 的 Claude 模型，跑了一整夜的推理任务。从安全角度看，这甚至不算什么高级攻击，就是一个最基础的凭证扫描 + 资源滥用。但从财务角度看，一家月支出十几美元的公司，在一夜之间欠下了一笔可能需要半年才能消化的债务。

这个案例之所以让我印象深刻，是因为它揭示了一个在 AI Agent 时代正在加速放大的系统性风险：算力消耗的速度，已经远远超过了传统风控系统的反应速度。

传统账单风控的三道防线，全部失灵

大多数公司的云成本风控，本质上就三道防线：

第一道：预算告警。 设置一个月度预算阈值，超过 80% 发邮件提醒。问题是，AI 算力的消耗速度是指数级的。一个大模型推理任务可能在几分钟内就烧掉几百美元，而告警系统的检测周期通常是小时级甚至天级的。等告警邮件送达，预算早就被打穿了。