一个大厂甩出"20 小时扫完 4.66 亿行代码"的时候,真正该盯的,恰恰不是这个数字。🧐
先说这案例本身。Anthropic 上周放了个加拿大 Alberta 省政府用 Claude 做安全审查的案例,数字一个比一个唬人:大约 50 个 agent 并行跑,20 个小时评估了 4.66 亿行政府代码——他们估算,传统方式做同样的事大概要 6.5 年。覆盖的是 27 个厅、1280 个应用、3400 个代码仓库,每一轮对着大约 95 项安全控制过一遍。最狠的一条:一个 25 年前用 Java 手写、当年花了 5 个月才做出来的补贴门户,现在他们说最快 4 到 5 天就能重建。
看到这种数字,第一反应大概是”卧槽”。但你冷静一下会发现,最抓眼的那个——”20 小时扫 4.66 亿行”——其实是这一堆里最不值钱的。让大模型快速把代码读一遍,本来就是它天生擅长的事;”扫过了”不等于”真找到了漏洞”,更不等于”没顺手报出一大堆误报”。扫描速度是入场券,不是本事。🎫
说得再白一点:这些年真正卡住安全审查的,从来不是”读得不够快”,是”读完之后判断得准不准”。任何扫描器都能一口气标出上万个”可疑点”,贵就贵在里头大半是噪声,得有人一条条筛。Anthropic 告诉了你”扫了多少行”,但没告诉你”误报率多少”——而恰恰是后面这个数字,才决定这套东西到底能不能真的替下人。至于”50 个 agent 并行”,说穿了就是把 50 个上下文窗口一起铺开跑,是漂亮的调度工程,不是能力上的突变。
真正有信息量的,是另外两个数字。
一是那个”5 个月 → 4-5 天”的重建。读代码是嘴上功夫,重建一个跑了 25 年的政府门户是真交付——这个数字量的是”做成了”,不是”读得快”,含金量完全不同。
二是那套红队蓝队的工作流。一个 agent 扮攻击者,从外面照着黑客的路子打;另一个 agent 当防守方,对着一套国际安全标准评估防御,然后直接写出整改方案。这套”让 agent 互相拆台、最后吐出一张可执行整改单”的结构,才是你真正能从这案例里搬走的东西。为什么非得拆成两个对着干的角色?因为让单个 agent 去审自己刚看过的东西,它天然会替自己找补、往”没问题”上圆;派一个专门挑刺、一个专门防守,才逼得出单一视角根本看不见的洞。这跟你让同一个人既写代码又 review 自己的代码,是一个道理。
所以这案例该学的,不是”Claude 好快”,是怎么把一次安全审查,拆成几个互相对抗的 agent 角色,再逼它交出一个能落地的产物。速度谁都有,结构才是设计。⚙️
如果你是那个要拍板的人,这案例里唯一值得抄进汇报的数字,也不是 4.66 亿,是那句”5 个月的活、4-5 天做完”——因为它讲的是交付,是过去这些 agent 最容易翻车的地方。能把”读代码快”一路兑现成”把一个跑了 25 年的系统重建出来”,中间那段路,才是真正的门槛。
当然,也得留个心眼。这是 Anthropic 自己发的案例,甲方乙方一块儿写的;”最快 4-5 天”“能重建”这些措辞,都留足了余地;误报率多少、多少地方最后还得人回头复核,你在这篇里是看不到的。
但抛开数字,这案例里最有分量的一点,其实是”谁在做”。一个省政府——通常是最保守、最经不起出事、审批链条最长的那类甲方——愿意把几千个仓库的安全审查交给一群 agent 并行跑,这个信号本身,比任何一个百分比都值钱。真正的领先指标从来不是”某个 benchmark 又涨了几分”,是”这套东西开始被最不敢冒险的人用了”。政府级、几千仓库的规模,agentic 安全审查已经不在 demo 阶段了。
下次再看到”X 小时干完 Y 年的活”,先别急着惊叹。问自己一句:这个数字,量的是”读得快”,还是”做成了”?——这两件事之间,差着一整个工程。
关注 @svtransit1 · 写给真在用 AI 的人
完整链接 · 评论区取 ↓
#AI #Claude #AIagent #AI落地
原始来源：https://www.anthropic.com/news/alberta-government-claude-cybersecurity
关注 @svtransit1 · 每 3 小时一篇 AI 前线 · RSS