昨天下午五点，离发版还有一个小时。三个人的小团队，四个改动要上线，其中三份是 AI 写完直接合并的，没有第二个人看过。
七点四十六分，支付回调（支付平台把结果通知回我们服务器的那个请求）开始报错。订单表里多出 47 条重复记录，客服那边已经在截图。
回滚完我算了一笔账。那三份改动，每份细看十五分钟，一共四十五分钟。这四十五分钟省下来了，后面赔进去 186 分钟，还搭上一晚上。
为什么会这样
一句话：AI 交回来的是一份草稿，草稿和能上线的代码之间，隔着一道得有人站的门。
门是被省掉的。一份 120 行的改动，手写要两小时，现在十五分钟出稿。写代码快了八倍，可"看一遍"这件事没跟着快，一分钟八行，还是十五分钟。人一忙，最先砍的就是这十五分钟，因为它不产出任何东西。三份一砍，四十五分钟。
AI 的稿子还有个特点：读起来顺。变量名规整，注释齐全，缩进齐整。顺的东西让人放松警惕。
同样 120 行，手写的你会一行行看，AI 写的你会跳着看。跳着看大概三分钟，你以为看过了，其实只看懂了它想让你看懂的那部分。
那 47 条重复记录就出在这里。回调里有一段判断"这笔单处理过没有"，被改成了一个恒真的写法，永远返回"没处理过"。三行改动，藏在 120 行里，跳着看碰不到。
出事以后的时间是翻倍的。定位 30 分钟，因为日志只写"回调成功"，没写是哪一版代码处理的。回滚 15 分钟。47 笔重复订单，每笔对着银行流水核一遍再退，3 分钟一笔，141 分钟。加起来 186 分钟，3 小时零 6 分，是那 15 分钟的十二倍多。
这就像收快递。签收只要十秒，你不签，后面丢件了要调监控、找网点、填单子，一次半小时起。十秒换半小时，没人觉得亏。
所以"能不能直接上线"的答案不在 AI 身上。它在你这边有没有一道门：合并之前，得有一个不是写这段代码的人，看过，也跑过。
怎么解决
三条，从最便宜的开始。
合并前必须有第二个人点。 谁写的谁不能点，这一条就这一句。成本是改一次仓库（放代码的地方）设置：把主分支（大家共用的那条线）的直接推送关掉。十分钟。在这个场景里，那三行恒真的判断，第二个人扫一眼就会问：这个条件为什么永远成立。
上线的面先放窄一点。 新版本先给 5% 的人用，盯十分钟，指标不对就切回去。成本是配置一次，也是十分钟。在这个场景里，47 笔重复记录会变成 2 笔。
把"跑过"交给机器。 合并前自动跑测试，跑不过不许合。不用写全，把钱相关的那几条路径写出来就够：下单、回调、退款。成本是头一回半天。
别踩的三个坑。
让写代码的人自己审。他看的是自己的思路，不是屏幕上的代码。
测试跑了，红了也合。等于没跑。
一上来就全量。5% 和 100% 的配置成本一样，出事的代价差二十倍。
平台怎么管这些问题
统一入口。 几个工具走同一个地址、一份密钥。在这个场景里，三份改动对上三次调用，不会混在一起。
请求留痕。 每次调用留一条，写清谁、几点、哪个模型、用了多少 token。token 是模型读写文字的计数单位，像手机流量，用多少算多少。在这个场景里，回滚后能立刻翻出那三份是几点生成的。
改动留档。 模型返回的改动对照存下来，不只存最后那份文件。在这个场景里，那三行是从哪一轮冒出来的，事后翻得到。
规则注入。 上线前必查的几条写成一份说明，每次请求带上。在这个场景里，写的人和审的人看到的是同一份规矩。
用量归集。 按人、按项目出账。在这个场景里，186 分钟那次返工折成钱，能落到具体项目上。
失败告警。 调用失败或超时自动发消息。在这个场景里，下午那几轮要是静默失败，你不用等到客服截图才知道。
这些功能平时谁管，四件事。
谁能改规则：上线前那份说明只有技术负责人能改，改完在群里贴一行改了什么，别人只读。
谁能批减免：额度超了要加，走团队负责人一个人签字，不到处找人。
出事能不能倒查到人：每条调用带账号。先查出事前那两小时的记录，能指到具体的人和那一轮的输入。
告警发给谁：发当天值班的那个人，名字写在值班表上，不发到一个群里。
这笔钱值不值
掏钱的是团队负责人，不是写代码的人。
一次返工 186 分钟。按一小时 150 元估（假设），465 元。一个月碰上两次，930 元。
快多少：上线前多花四十五分钟看改动，出事后省下 186 分钟，一次净赚 141 分钟。
多久回本：关掉主分支直推十分钟，分批放量十分钟。头一回就回来了。写测试那半天，两三次返工就抵掉。
行业规则怎么管这件事
这次对得上的不是国家政策，是支付卡行业的数据安全标准，叫 PCI DSS，第 4 版，PCI 安全标准委员会 2022 年 3 月发布。
它的第 6.2.3 条要求：自己写的软件，上线前必须做代码审查。后面跟了一条 6.2.3.1，写明做审查的人不能是写这段代码的人。
这条规矩落在昨天那一屏上，是这样的。三份改动都是同一个人用 AI 生成的，点合并的也是他。按这条规矩，三份一份都不许上线。它不管你是手写还是 AI 写，只管一件事：有没有第二双眼睛。
回到昨天下午五点的工位。四十五分钟的看代码省下来很容易，赔进去是 186 分钟。门只有一道，站个人就行。
Token工厂：贰号token工厂
Codex、Claude Code、Trae、Qoder 要用的模型 token，统一接入、统一计费。
点这里看详情 →