小企业用 vibe coding 做应用，安全吗？

更新于 2026年10月15日 · 阅读约 3 分钟

做原型、做演示，或者做一个不存客户数据的内部工具，基本没问题。但凡要存个人信息、要收款，或者要撑起公司的核心业务，光靠 vibe coding 就不行。风险不在应用屏幕上做了什么，而在三件事：谁能看到数据，代码和账号归谁，做应用的人走了以后，出了问题谁来修。

简单的答案：看你在做什么

这是我们的判断，不是法律或安全标准。

代码是 AI 写的，你的义务一样不少

如果你的企业受《隐私法》（Privacy Act）管辖，你就有责任保护应用收集到的个人信息；发生符合条件的数据泄露时，还要通报澳洲信息专员办公室（OAIC）和受影响的人。年营业额在 300 万澳元及以下的小企业，大多不受这部法律管辖，但也有例外，医疗服务提供者就是其中之一。

OAIC 2026 年 7 月公布的数据显示，2025 年一共收到 1,205 起数据泄露通报，是 2018 年这项制度实施以来最多的一年，比前一年多 8%。通报最多的是医疗服务提供者。vibe coding 做的应用把数据库敞开了，和其他任何泄露没有两样，哪怕代码是机器写的。就算你的企业不受这部法律管辖，客户资料漏出去了，你照样得给客户一个交代。

安全问题，出事之前看不见

AI 已经是小企业日常的一部分：据国家人工智能中心（National AI Centre），2026 年 2 月有 44% 的澳洲中小企业在用 AI。AI 写的代码常常能用却不安全，屏幕上什么也看不出来。据澳洲统计局（ABS），2024–25 年度有 21% 的澳洲企业报告遭遇过网络安全事件。上线之前，问做应用的人三个问题：

• 不登录的人，能不能读到数据库？
• 密码和 API 密钥存在哪里？
• 有人在表单里填了意料之外的内容，会发生什么？

要是没人答得上来，这个应用就还不能给客户用。

做出来的东西归谁

很多 vibe coding 工具会把应用、数据库和代码都留在自己的平台上。平时很方便，等到你想搬走、平台涨价或者关门的时候，就麻烦了。正式依赖一个应用之前，先确认代码和数据都能导出来，账号登记在公司名下，而不是挂在某个外包或员工的个人账号上。

代码本身归谁，就更说不准了。澳洲版权法保护的是人类作者的作品；AI 在几乎没有人参与的情况下写出来的代码该怎么算，法院还没有判过。

做应用的那个人，成了唯一的依靠

在 vibe coding 做的应用里，最接近说明文档的东西，就是生成它的那段聊天记录，而且通常只存在某一个人的账号里。这个人一走，公司就剩下一个谁也说不清的应用。专业开发者这么谨慎是有道理的：Stack Overflow 2026 年的调查里，只有 7% 的开发者说，敢在重要决定上信 AI 的输出。

省下的时间，容易算多

第一个下午确实快。之后的几周，都花在反复改提示词、手动测试、修补上一次改动弄坏的地方上。不少工具按用量收费，每来回一轮，花掉的不只是时间，还有点数。连研究人员都很难算清到底省了多少：2026 年 2 月，METR 表示，它对 AI 能让开发者提速多少的最新估算，不确定性太大，快了还是慢了都说不准。

我们的看法

用 vibe coding 弄清楚自己想要什么，很有用；用它来跑你赖以生存的业务，风险很大。在应用碰到客户的数据或钱之前：

• 请懂代码的人审一遍；
• 确保代码、数据和账号都归公司所有；
• 写下它是怎么运作的，坏了找谁。

跟向客户解释一次数据泄露比起来，这些都不算贵。

资料来源

• OAIC：2025 年数据泄露通报数创历史新高（2026 年 7 月）
• OAIC：小企业隐私指南
• 澳洲统计局（ABS）：澳洲企业特征调查，2024–25
• National AI Centre：AI 采用情况洞察，2025 年 12 月至 2026 年 2 月
• Stack Overflow：2026 年开发者调查，AI 部分（2026 年 10 月）
• METR：我们正在调整开发者生产率实验的设计（2026 年 2 月）

以上为一般信息，不构成法律建议。