Pa Gamgymeriadau a Wneud Datblygwyr Wrth Godio Gydag Cynorthwywyr AI?

Mae cynorthwywyr AI fel Copilot, Claude, a modelau adeiledig Cursor wedi newid pa mor gyflym y mae cod yn cael ei ysgrifennu. Nid ydynt wedi newid pa mor ofalus y mae angen ei adolygu. Mae'r rhan fwyaf o'r niwed a welais i o godio â chymorth AI yn dod o nifer o arferion ailadroddadwy, nid o'r modelau eu hunain.

Derbyn awgrymiadau heb eu darllen

Y prif un yw tab-derbyn cwblhad oherwydd ei fod yn edrych yn ddichonol ac yn crynhoi. Nid yw dichonol yr un peth â cywir. Rwyf wedi gweld query SQL a awgrymwyd yn syrthio'n dawel i WHERE clause yn ystod ailstrwythuro, a derbyniodd y person ef oherwydd bod yr enwau newidynnau yn cyfateb. Os nad ydych chi'n darllen pob llinell y mae cynorthwyydd yn ei roi i chi ar yr un cyflymder ag y byddech chi'n darllen cais tynnu gan gydweithiwr, rydych chi'n mynd i anfon rhywbeth nad ydych chi'n ei ddeall. Traktewch bob awgrym fel drafft cyntaf gan ddatblygwr iau sy'n gyflym ond heb unrhyw gof o gonfensiynau'ch codebase.

Ymddiried ynddo gyda cod sensitif diogelwch

Mae cynorthwywyr AI wedi'u hyfforddi ar bentyrau enfawr o god cyhoeddus, ac mae llawer o'r cod hwnnw ag anawsterau diogelwch wedi'u gosod ynddo. Gofynnwch am drin ffeil uwchlwytho cyflym a byddwch chi aml yn cael rhywbeth heb wirio estyniad, heb derfyn maint, ac â llwybr wedi'i adeiladu drwy gydgateniad llinyn yn lle os.path.join neu alwad llyfrgell ddiogel. Yr un stori gyda auth: mae cynorthwywyr yn hoffi awgrymu storio JWTs yn localStorage, neu gymharu dirgelmion gyda == yn lle cymhariaeth amser cyson. Nid yw dim o hyn yn faleisus, mae'n syml yn gyffredin yn ystadegol mewn data hyfforddi. Ar gyfer unrhyw beth sy'n cyffwrdd ag uthentification, mewnbwn/allbwn ffeil, dadserio, neu SQL, ysgrifennwch y rhesymeg eich hun neu rhedeg allbwn AI drwy'r un cwestiynau modelu bygythiad y byddech chi'n eu gofyn o unrhyw god newydd: beth sy'n digwydd gyda mewnbwn gelyniaethus, beth sy'n digwydd os yw'r alwad hon yn methu, pwy arall all gyrraedd y pwynt diwedd hwn.

Gadael iddo ddyfeisio dibyniaeth a APIs

Mae modelau'n hallucinate enwau pecyn a llofnodion swyddogaeth gyda hyder llwyr. Dyma'r broblem "slopsquatting" — mae ymosodwyr yn cofrestru'r enwau pecyn ffug y mae modelau aml yn eu hawgrymu, felly gall pip install neu npm install heb ei wirio dynnu rhywbeth nad yw'n eich llyfrgell cofnodi o gwbl. Cyn ychwanegu unrhyw ddibyniaeth y mae cynorthwyydd yn ei argymell, gwirio ei fod yn bodoli mewn gwirionedd ar PyPI neu npm, gwirio ei gyfrif llwytho a dyddiad cyhoeddi diwethaf, a sgimio'r ffynhonnell os yw'n ddigon bychan. Mae'r un rhybudd yn berthnasol i alwadau API: os yw'r cynorthwyydd yn cyfeirio at ddull nad ydych chi'n ei adnabod, gwiriwch y dogfennaeth wir cyn tybio ei fod yn bodoli.

Colli'r model meddyliol o'ch cod eich hun

Pan fyddwch chi'n ysgrifennu cod eich hun, rydych chi'n adeiladu map meddyliol o pam mae pob darn yn bodoli. Pan fyddwch chi'n derbyn blociau mawr o god a gynhyrchwyd gan AI dros sesiwn, mae'r map hwnnw'n mynd yn denau'n gyflym. Yna mae bug yn ymddangos tair wythnos yn ddiweddarach ac rydych chi'n dadfeiliad cod na ysgrifennoch chi byth yn iawn a nad ydych chi'n ei gofio'n llawn. Nid yw'r trwsiad yn osgoi cod a gynhyrchwyd gan AI, mae'n arafwch digon i egluro pob darn yn ôl i chi'ch hun, neu i gydweithiwr, cyn ei gyfuno. Os na allwch chi egluro beth y mae swyddogaeth yn ei wneud a pham mae'n ei wneud fel hynny, peidiwch â'i gyfuno eto.

Hepgor profion oherwydd bod y cod