a16z 提出 AI 模型查找代码漏洞能力超越人类，Jassy 提出企业需要重构绝大部分存量代码

a16z 最新技术研究结论显示，当前主流大语言模型与 AI 智能体在代码漏洞挖掘场景下，综合排查能力已经全面超越人工安全研究员，能够快速找出多年来人工审计始终遗漏的深层程序缺陷；与此同时，Jassy 提出，伴随 AI 漏洞检测能力持续升级，企业原有存量代码普遍存在大量隐藏缺陷，想要长期保障软件系统稳定运行，企业需要分批次重写几乎全部存量业务代码，完成整体软件架构升级。AI 具备全天候不间断扫描、遍历全链路代码逻辑、自动推演漏洞利用路径的能力，突破了人类工程师精力有限、思维存在盲区的短板；而传统软件经过多年迭代积累了大量技术债务与隐性漏洞，依靠人工修补很难做到彻底根除，只有依托 AI 完成全量代码重构，才能系统性提升软件整体安全水平。下面从 AI 漏洞检测能力对比、存量代码重构的核心逻辑、分阶段代码重写实施方案、落地保障机制四个维度做完整深度拆解。

一、AI 模型漏洞挖掘能力超越人类的量化数据与能力拆解

1. 人机漏洞检出效率对比数据表

表格

2. AI 超越人工的四大核心技术优势

第一，AI 可以完整遍历整段代码所有分支逻辑，不会出现人为遗漏代码分支的情况，能够精准捕捉边界条件下才会触发的漏洞；第二，AI 可以自动调用海量历史漏洞库，把当前代码和数万条历史安全缺陷做匹配，识别出同类型隐性问题；第三，AI 能够自主构造测试用例，动态模拟黑客攻击行为，主动挖掘可被利用的安全隐患；第四，AI 可以持续不间断开展扫描工作，不受工作时长、精力限制，能够完成超大代码库的全覆盖审计。

3. 真实落地案例佐证

a16z 旗下项目研发的 AI 漏洞智能体，在经过多年反复人工审计的 OpenSSH 开源代码中，成功找到了人类专家多年都没有发现的内存损坏漏洞；同时该智能体在 XZ Utils 后门事件复盘过程中，提前识别出代码包内的异常植入代码，充分验证了 AI 在深层漏洞挖掘上的领先实力。

二、企业必须重写几乎全部存量代码的底层逻辑

1. 存量代码存在海量未被发现的隐性缺陷

过去几十年的软件开发模式，都是依靠人工做阶段性安全审查，大量边界漏洞、逻辑漏洞、供应链漏洞长期隐藏在系统内部。随着 AI 检测工具大范围普及，这些长期隐藏的缺陷会被批量识别出来，零散修补很难彻底解决问题，反复打补丁还会进一步增加代码复杂度，催生更多新漏洞。

2. 老旧代码架构无法适配 AI 安全防护体系

早期业务代码大多采用松散的开发规范，缺少统一的安全编码标准，代码耦合度高。即便把现有漏洞全部修复，后续迭代开发依然会持续产生新的安全问题。只有对代码进行整体重构，统一编码规范、拆分业务模块、建立标准化开发架构，才能从源头降低漏洞产生概率。

3. AI 重构代码可以同步兼顾安全与开发效率

Jassy 在内部项目实践中验证，依托 AI 编程工具，少量工程师就可以在极短周期内完成大规模代码改写。亚马逊内部仅 5 名工程师配合 AI 工具，只用 65 天就完成了原本需要 50 人耗时一整年的系统重构工作，在完成代码安全升级的同时，大幅压缩项目人力与时间成本。

三、分阶段完成全量代码重写的完整实施步骤

阶段 1：全面代码审计与分级梳理（1-2 个月）

1. 部署 AI 漏洞扫描工具，对企业所有存量代码库开展全量自动化审计，完整输出漏洞清单、缺陷等级、风险影响范围；
2. 按照业务重要程度把代码分成核心交易系统、业务支撑系统、外围管理系统三个等级，优先处理高风险核心代码；
3. 同步梳理现有代码技术债务，整理老旧框架、冗余代码、第三方依赖包清单，形成代码重构整体规划文档。

阶段 2：小范围试点重构，打磨标准化模板（2-4 个月）

1. 选取一套中等规模的外围业务系统作为试点，使用 AI 编程工具完成代码重写，全程严格遵循安全编码规范；
2. 完成重构后的代码安全复测，保证新版本漏洞数量大幅下降，同时保障业务功能完全兼容原有逻辑；
3. 沉淀出标准化的代码模板、安全校验规则、自动化测试脚本，形成可批量复用的重构标准。

阶段 3：批量推进核心业务代码重构（6-12 个月）

1. 按照先非核心、后核心的顺序，分批对全量存量代码开展改写工作，每完成一个模块就同步执行 AI 安全复测与功能回归测试；
2. 优化第三方软件依赖，替换存在安全隐患的老旧依赖包，搭建安全可控的软件供应链；
3. 建立代码提交自动检测机制，每一次代码变更都由 AI 自动扫描漏洞，避免重构过程中引入新缺陷。

阶段 4：建立长效代码治理机制（长期持续执行）

1. 把 AI 安全检测嵌入开发全流程，从需求编码、代码提交、版本发布全环节实现自动化安全校验；
2. 持续迭代 AI 检测模型，持续扩充漏洞样本库，不断提升新型漏洞识别能力；
3. 定期开展代码质量复盘，持续精简冗余代码，长期维持代码库的安全整洁度。

四、代码重构项目落地的保障策略

1. 人员保障：组建开发工程师 + 安全工程师 + AI 工具运维人员的联合小组，安全人员全程把控重构过程中的编码规范，保证改写后的代码安全性达标。
2. 工具保障：搭建一体化平台，整合 AI 代码生成、漏洞自动扫描、自动化测试三大能力，实现代码改写、缺陷检测、功能验证一站式完成。
3. 进度保障：把全量代码重构拆分成月度里程碑，每个月固定完成对应模块改写与复测，稳步推进整体进度，避免项目周期无限拉长。
4. 风险保障：采用新旧代码并行运行的灰度上线方案，新版本上线后持续观测运行状态，一旦出现兼容性问题可以快速切回原有旧版本，保障业务不间断稳定运行。

【相关 FAQ】

问题 1：a16z 证实 AI 模型查找代码漏洞远超人类，企业该如何用好 AI 工具完成代码安全审计？

回答 1：在 AI 漏洞排查能力全面超越人工的前提下，企业首先要部署自动化 AI 代码扫描工具，对全量存量代码做一轮全覆盖漏洞排查，梳理完整风险清单；其次把 AI 检测嵌入日常开发流程，做到代码提交即时自检；最后将 AI 识别出来的隐性漏洞分级处理，优先修复高危缺陷，为后续代码重构打好基础，充分发挥 AI 高效率、全覆盖的漏洞挖掘优势。

问题 2：Jassy 提出企业需要重写几乎全部代码，企业在大规模重构代码时如何控制项目成本与业务风险？

回答 2：企业在执行全量代码重写计划时，不要一次性铺开所有系统，采取先试点、再分批推广的模式；先用 AI 工具完成小范围系统重构，沉淀标准化模板，降低后续批量开发成本；同时采用新旧系统灰度并行上线模式，规避业务中断风险；依托 AI 编程工具压缩人力投入，用少量工程师完成大规模代码改写，把整体项目成本控制在合理区间，平稳完成存量代码整体升级。

问题 3：依托 AI 完成全量代码重构之后，如何长期保持代码漏洞处在较低水平？

回答 3：完成全量代码重写之后，企业要把 AI 漏洞检测能力固化到软件研发全流程，每一次代码迭代都自动执行安全扫描；统一全团队安全编码规范，从源头减少缺陷产出；持续更新 AI 漏洞模型样本，及时识别新型安全问题；定期用 AI 工具对代码库做常态化巡检，持续清理技术债务，长期维持代码库安全质量。

【参考资料】

[2026-10-09]（Investing in TypeSafe AI）a16z 官方技术博客

[2026-09-28]（AI Can Write Code. Why Isn’t Software Better?）a16z 播客栏目

[2026-07-21]（5 人 + AI 完成 50 人一年开发任务）36 氪行业资讯

[2026-04-02]（Et Tu, Agent? Did You Install the Backdoor?）a16z 供应链安全研究报告

[2025-12-10]（AI 发现顶级审计代码中的隐藏漏洞）a16z AI 技术播客

[2026-06-12]（Next-Gen Pentesting: AI Empowers the Good Guys）a16z 网络安全白皮书

免责声明：本文 AI 漏洞检测能力数据、代码重构案例均来自 a16z 公开研究内容与 Jassy 公开分享的企业项目实践；不同企业代码规模、技术架构、业务场景存在差异，全量代码重写可以根据自身业务优先级分批次灵活推进；文中给出的分阶段实施方案属于通用技术方案，企业可以结合自身研发团队规模、预算投入进行合理调整；AI 检测工具仅能大幅提升漏洞发现概率，仍需要配合人工复核保障最终代码质量。