AI 生成代码涌入开源，谁来把关？

随着大语言模型被广泛用于辅助乃至直接生成代码，越来越多 AI 产出的代码片段正在流入各类开源项目。BleepingComputer 近日发文提出一个尖锐问题：在这种规模下，究竟由谁、如何对这些代码进行有效审查？

规模化审查的困境

传统开源项目依赖维护者和贡献者进行人工 code review，但 AI 生成的代码数量增长远超人力所能消化的速度。维护者难以判断一段代码是来自人类作者还是模型输出，也无法快速评估其在安全、性能与许可证层面的合规性。这使得「谁来 vetting（审查）」成为开源社区必须正面回应的现实问题。

对开源供应链的潜在影响

AI 生成代码一旦未经充分审查便被合并进依赖库，就可能将隐藏的漏洞、不安全的依赖或模糊的许可证条款带入下游项目，进而影响整个软件供应链。这也是为什么部分开源基金会和大型项目开始讨论是否需要专门的工具或流程来标记、追踪 AI 生成内容。

现状与待解难题

目前业内尚未形成统一标准：有的项目要求贡献者主动声明是否使用 AI 协助，有的则依赖自动化扫描工具辅助判断。但这些措施在大规模、跨语言、多仓库的场景下仍显单薄。文章呼吁社区、产业与工具厂商共同建立更系统的 AI 代码审查机制，以应对这一正在加速的结构性挑战。

注：原文以评论与观点为主，本文基于标题与公开背景整理，具体论据请参阅 BleepingComputer 原文。