Koodin tarkistus ja virheiden etsiminen

Voitot:

• Mahdollisuus käyttää tekoälyä alustavana tarkistussuodattimena luokkien ja vakavuustunnisteiden kanssa
• Kyky suodattaa löydöksiä ihmismielellä todentamiseksi / vääriä positiivisia / soveltaa
• Kyky panna täytäntöön ihmisten hyväksyntävaatimukset liiketoimintasääntöihin, arkkitehtuuriin ja tietoturvakriittisiin päätöksiin

Koodin tarkistus tarkoittaa sitä, että joku muu tarkistaa kehittäjän kirjoittaman muutoksen ennen sen yhdistämistä. Hyvä arvostelu; Se havaitsee vikoja varhain, jakaa tietoja ja pitää koodikannan johdonmukaisena. Arvostelut ovat kuitenkin väsyttäviä, alttiita häiriötekijöille ja muuttuvat pinnallisiksi ajanpaineen alla. Tekoäly on tässä kaksinkertainen apulainen: sen avulla voit sekä esipuhdistaa oman koodisi, jonka lähetät tarkistettavaksi, että tarkastella jonkun toisen PR-pyyntöä (pull request) terävämmällä silmällä.

Kriittinen ero on tämä: tekoäly nopeuttaa ja tehostaa tarkistusta, mutta se ei voi ottaa vastuuta hyväksynnästä. Lause "AI katsoin, se on puhdas" ei ole tuki. Lopullisen "yhdistämispäätöksen" tekee insinööri, joka tuntee koodin ja kontekstin.

Mitä tekoäly on hyvää ja huonoa arvostelussa

Hyvä: nollatarkistukset, resurssivuodot (tiedosto/linkki jää auki), jääneet poikkeukset, ilmeisen väärät ehdot (>= sijaan >), uudelleennimeämisehdotukset, luettavuus, puuttuvat reunakirjaimet, yksinkertaiset tietoturvahajut (kuten SQL-merkkijonojen ketjuttaminen), kaksoiskoodin tunnistus.

Heikkoudet: Syvät puutteet, jotka rikkovat liiketoimintasääntöäsi, mutta vaativat kontekstin ja ajoituksen, kuten syntaktisesti oikea logiikka, arkkitehtoninen yhteensopivuus, todelliset suorituskyvyn pullonkaulat, samanaikaisuusvirheet. Tekoäly tuottaa myös vääriä positiivisia (erehdytetään ongelmaan, mikä ei itse asiassa ole ongelma) ja vääriä negatiivisia (todellisen virheen puuttuminen). Siksi sen tulos on "varoituslista", ei lopullinen tuomio.

Varoitus: Se, että tekoäly sanoo "ei ongelmaa", ei osoita koodin olevan oikea. Väärät negatiivit ovat hiljaa; Vaarallisimmat virheet ovat ne, joita ei koskaan mainita katsauksessa.

Systemaattiset tarkistusvaiheet

1. Anna konteksti. Lisää kehotteeseen muutoksen tarkoitus, asiaankuuluva ongelma ja mahdolliset hyväksymiskriteerit. Tarkoittamaton arvostelu tuottaa tarkoituksetonta tulkintaa.
2. Jaa se luokkiin. Pyydä mallia luokittelemaan havainnot "vika/turvallisuus/suorituskyky/luetettavuus/tyyli"; joten erotat kriittisen melusta.
3. Pyydä vakavuusmerkintä. Anna kullekin löydökselle luokitus "korkea/keskitaso/matala" ja sisällytä "syy" ja "suositeltu korjaus".
4. Suodata se omin silmin. Arvioi jokainen löytö: onko se todellinen (tarkista), onko se väärä positiivinen (kirjoita perustelu), puuttuuko jotain (lisää oma tietosi).
5. Tarkista kriittiset polut manuaalisesti. Lue ja suorita rahaa, henkilöllisyyttä, valtuutusta ja tietojen poistamista sisältäviä reittejä itse ilman tekoälyä.

Kolme minikoteloa

Tapaus 1 — Hiljainen nollavirhe havaittu. Yhdellä tiimillä oli tekoälyn ennakkoarviointi 380-rivinen PR. Malli merkitsi tavan, jolla ulkopuolisen palvelun vastaus voi olla tyhjä, mutta koodissa ei tehty tätä tarkistusta. Ihmisarvostelija vahvisti tämän polun ja lisäsi nollatarkistuksen; Vastaava virhe aiheutti 2 tunnin tuotantokatkoksen edellisellä vuosineljänneksellä.

Tapaus 2 – Väärä positiivinen eliminointi. Tekoäly ilmoitti "mahdollisesta suorituskykyongelmasta" silmukassa. Arvostelija sulki tämän vääränä positiivisena tietäen, että silmukka toimii vain enintään 5 elementin kanssa (se silmukat yli enum). Malli, joka ei tiennyt kontekstia, varoitti; Henkilö, joka tiesi kontekstin, teki oikean päätöksen.

Tapaus 3 – AI missed business rule -virhe. Kampanjasäännön mukaan alennustilin tulee olla enintään 30 %, mutta koodi sallii 50 %. Tekoäly ei koskaan huomannut tätä syntaktisesti täydellistä loogista virhettä; koska hän ei tiennyt sääntöä. Tuotteen omistaja, joka tiesi hyväksymiskriteerit, huomasi virheen arvostelussa. Oppitunti: Liiketoiminnan sääntöjen validointi on ihmisen työtä.

Neljä kopioitavaa mallia

Tarkoituksenmukainen, luokiteltu arvostelu:

Rooli: Huolellinen koodin tarkistaja. Muutoksen tarkoitus: {{purpose / issue}}Tarkista tämä ero. Anna havainnot seuraavissa luokissa: [Virhe] [Turvallisuus][Suorituskyky] [Luetettavuus] [Tyyli]. Jokaiselle löydökselle: tiedosto:rivi, vakavuus (korkea/keskitaso/matala), syy, suositeltu korjaus. Merkitse "mahdollinen", jos et ole varma. Et tunne liiketoiminnan sääntöjä; Kysy minulta sääntöjä vaativista paikoista.{{diff}}

Valmistaudu tarkistamaan oma koodisi seuraavasti:

Tarkista tämä muutos ennen PR:n avaamista. Etsi: puuttuva null/bugcheck, resurssivuoto, reunatapaus, salainen, testaamaton haara. Listaa havainnot tärkeysjärjestykseen; ehdota korjausta 1 rivi jokaiselle.{{code}}

Edge case metsästys:

Listaa tulot ja tilanteet, joissa tämä toiminto saattaa rikkoutua: tyhjä, tyhjä, liian suuri, negatiivinen, samanaikainen puhelu, verkkovirhe, osittaiset tiedot. Kirjoita kullekin tapaukselle odotettu toiminta ja nykyisen koodin toiminta.{{funktio}}

Turvahajuskannaus (esitarkistus):

Etsi tästä koodista yleisiä turvallisuushajuja: SQL/komentojen ketjutus, vahvistamaton syöttö, muuttumaton sulautettu salaisuus, epävarma sarjoittaminen, oikeuksien tarkistamisen puute. Erottele havainnot "varmaan / todennäköiseen / tietoon". Tämä on alustava seulonta; Se ei ole lopullinen päätös.{{code}}

Heikko kehote / Vahva kehote

Heikko: "Onko tässä PR:ssa virhe?"

Vahva: "Tarkoitus: lisää kuponkialennus ostoskorin kokonaismäärään (alennus saa olla enintään 30 % – et voi vahvistaa tätä sääntöä itse, kerro vain, jos koodi asettaa ylärajan). Tarkastele eroa; anna havainnot luokittain + vakavuus + ehdotettu korjaus, merkitse 'mahdollinen', jos olet epävarma. [ero]"

Vahva versio ilmaisee selvästi tekoälyn tarkoituksen, liiketoimintasäännön ja rajan; Siten hyödyllisiä löytöjä tulee ja mallille tuntematon alue jää selväksi.

Tyypin etsiminen

AI luotettavuus

miehen rooli

Nolla/virhetarkistus puuttuu

korkea

Vahvista ja hae

Luettavuus/tyyli

korkea

Valitse mieltymysten mukaan

Yksinkertainen turvallisuuden tuoksu

keskikokoinen

Viimeistele, skannaa ajoneuvolla

Liiketoiminnan sääntöjen noudattaminen

alhainen

Se on täysin inhimillistä.

Samanaikaisuus/arkkitehtuuri

alhainen

Asiantuntijatarkastus vaaditaan

AI Review ei korvaa ihmisarviointia

Aseta AI-arvostelu "ensimmäiseksi suodattimeksi": halpa, nopea, väsymätön ennakkopassi. Tämä suodatin vapauttaa arvioijan huomion merkityksettömistä yksityiskohdista (välilyönti, nimi) ja ohjaa sen paikkoihin, jotka todella vaativat ajattelua – liiketoimintasääntöön, arkkitehtuuriin, tietoturvatulokseen. Mutta yhdistämisen hyväksyntä on tiimin vastuullisen henkilön allekirjoitus. Vähintään yhden pätevän insinöörin riippumaton tarkastus on pakollinen turvallisuuden kannalta kriittisten muutosten osalta.

Vinkki: Lue tekoälyn tekemien löydösten luettelo "tarkistettavia asioita" eikä "tehdä". Tarkista ja käytä jokainen kohta tai kirjoita yhdellä lauseella, miksi läpäisit sen. tämä jälki tekee tarkastelusta tarkastettavan.

Yleisiä virheitä

• Se tarkoittaa "AI katsoin, se on puhdas". Tämä on väärää luottamusta väärien negatiivisten seikkojen vuoksi.
• Ei anna kontekstia. Ilman tarkoitusta ja hyväksymiskriteerejä malli tuottaa vain pinnallisia tyylitulkintoja.
• Väärien positiivisten tulosten soveltaminen sokeasti. Jokaisen mallin varoituksen korjaaminen voi rikkoa käynnissä olevan koodin.
• Kysyminen mallilta liiketoimintasäännöstä. Malli ei tunne sääntöä; Se on ihmisen asia tarkistaa.
• Älä syrji väkivaltaa. Kriittisen tietoturvalöydön ja nimiehdotuksen laittaminen samaan pussiin jättää tärkeän varjoon.

Yhteenvetona

Tekoäly on väsymätön ensimmäinen suodatin kooditarkastelussa: se havaitsee nolla/error miss, reunatapaukset ja yksinkertaiset turvallisuushaisevat hyvin; mutta se on heikko kontekstia vaativissa puutteissa, kuten liikesääntö, arkkitehtuuri ja samanaikaisuus, ja tuottaa sekä vääriä positiivisia että vääriä negatiivisia. Pyydä löydöksiä luokkien ja vakavuuden mukaan, suodata jokainen ihmisälyllä, tarkista kriittiset polut manuaalisesti. Hyväksyntä on aina vastuullisen insinöörin allekirjoitus.

Sovellustehtävä

Valitse todellinen tai viimeaikainen PR/ero. Ensinnäkin, pyydä tekoälyä tarkistamaan se "objektiivisesti suuntautuneen luokkatarkistuksen" -mallin avulla. Laita havainnot taulukkoon ja päätä jokaisen kohdalla: tosi (vahvistin), väärä positiivinen (tässä on perusteluni) vai toteutetaanko. Tee sitten kierros itse ja yritä löytää ainakin yksi asia (etenkin liikesääntö tai reunatapaus), joka tekoälystä puuttuu, ja kirjoita se ylös.

tarkistuslista

• [ ] Käytän tekoälyarviointia ensimmäisenä suodattimena, en suosituksena.
• [ ] Lisään tarkoituksen ja hyväksymiskriteerit tarkistuskehotteeseen.
• [ ] Erotan havainnot melusta kategorioittain ja haluan niitä voimakkaasti.
• [ ] Suodatan tietoisesti jokaisen löydön vahvistaakseni / väärän positiivisen / soveltaakseni.
• [ ] Ihmisenä tarkistan liiketoiminnan sääntöjen ja arkkitehtonisen noudattamisen.
• [ ] Vaadin pätevän insinöörin hyväksynnän turvallisuuden kannalta kriittisiin muutoksiin.