过去十几年，开发者已经建立了一套关于数据安全的习惯。代码不能随便上传，密钥不能提交 GitHub，生产日志不能直接发给别人。
因为大家知道，这些动作意味着一件事：数据正在离开自己的控制范围。 但 AI 正在改变这个边界。最近，heimwall 安全团队分析了微软研究院 MSR 2024 Mining Challenge 数据集中的 27075 条真实开发者 AI prompt。
研究人员发现，其中仍然存在有效泄露的 API 密钥：2 个 OpenAI API Key、1 个 Google API Key。除此之外，还发现了 49 个真实个人邮箱地址。
单看这个比例，它似乎很小。但问题在于，AI 对话已经不是几十个人的小范围实验，而正在成为开发者每天使用的基础工具。
当数亿次代码交流、调试请求和开发上下文进入 AI 系统后，万分之一并不是一个可以忽略的数字。这些密钥并不是出现在公开 GitHub 仓库，也不是出现在论坛帖子里。
它们出现在开发者和 AI 协作的过程中。开发者本来只是想解决一个问题，但在这个过程中，代码、日志、配置，甚至敏感信息，已经进入了另一个系统。这暴露了 AI 时代一个新的安全问题：AI 正在让”数据外发”变成”继续思考”。
以前，发送数据是一件明显的事情
在 AI 出现之前，数据外发通常有明确的动作。提交代码到 GitHub，是一次发布。
上传文件到云盘，是一次共享。发送邮件，是一次传输。
这些动作都有一个共同点：人知道自己正在把东西交出去。所以过去很多安全机制，本质上都是围绕这个瞬间建立的。
GitHub 为什么会做 Secret 扫描？因为整个行业已经意识到，开发者可能会不小心把 API Key、Token、密码提交进代码仓库。
于是，工具开始主动增加摩擦：提交前检查、提交后扫描、发现泄漏后提醒撤销。这些机制并不是假设用户永远不会犯错，而是承认：人在正常工作状态下，会犯错。所以应该让危险动作更容易被发现。
AI 把这个提醒消除了
问题在于，AI 对话天然降低了这种感觉。开发者遇到问题，复制一段代码、粘贴、询问 AI、得到答案，整个过程和搜索资料非常接近。
人的大脑会自然把它归类为”我正在查资料”、”我正在调试”、”我正在继续工作”，而不是”我正在向第三方服务发送代码”。但从技术角度看，两者完全不同。
搜索一个关键词，发送的是一个问题。把项目代码、错误日志、配置文件发送给 AI，发送的是整个上下文，其中可能包含 API 密钥、数据库连接信息、内部接口地址、未公开代码。只是因为操作足够顺滑，很多人没有意识到自己刚刚完成了一次数据外发。
Vibe Coding 让问题进一步扩大
如果说 ChatGPT 改变的是”复制粘贴代码”的习惯，那么现在流行的 Vibe Coding 和 AI Agent 改变的是整个开发流程。Claude Code、Codex、Cursor 这类工具已经不只是回答问题，它们会参与实际开发：读取项目文件、搜索代码、分析日志、修改文件、执行命令。
这带来了一个新的问题。过去开发者关注的是**”我发给 AI 的这段代码有没有问题”，现在更应该关注”我允许 AI 看到什么”**。
这是完全不同的安全模型。以前开发者决定发送哪些内容，现在 AI Agent 参与决定哪些上下文会被读取。
比如，一个开发者让 AI Agent “帮我修复项目里的认证问题”。为了完成任务，Agent 可能需要查看配置文件、环境变量、接口代码、错误日志。
但这些地方，也可能包含 API Token、数据库密码、内部服务地址、客户数据。问题已经不只是”有没有人主动把密钥复制进去”，而是：一个拥有项目访问权限的 AI，默认能够看到什么。
问题不是 AI，而是信任边界变化
这里容易产生一个误解：是不是 AI 天生不安全？并不是。
真正需要关注的是：数据有没有离开你的信任边界。 如果使用本地运行的模型，代码可能始终留在自己的机器上。如果企业内部部署 AI，数据仍然处于企业控制范围。
但如果使用第三方云 AI，那么它本质上和邮件、云存储、在线协作工具没有区别：都是把数据交给另一个系统处理。区别只是：过去这个动作很明显，现在它隐藏在一句”帮我看看这个 Bug”、”帮我优化一下代码”、”帮我分析一下错误”这样的开发请求里面。
未来需要重新设计安全机制
很多安全问题最后都会变成一句”提高员工安全意识”，但 AI 时代这个答案并不完整。因为问题不是开发者不知道 API Key 重要，而是工作方式发生了变化。
当一个动作足够自然，人就会降低警惕。 所以未来真正有效的方法，不是要求所有人永远保持谨慎，而是重新给 AI 工作流增加一点摩擦。
比如：发送给 AI 前自动检测敏感信息，发现 API Key、Token、密码、私钥时自动替换，让 Agent 默认忽略 .env、credentials、生产配置等敏感目录，让开发者清楚知道当前使用的是本地模型还是第三方服务。
AI 时代，需要重新理解”发送”
过去，发送数据通常是一个明确动作：点击上传、点击发送、提交代码。现在，发送数据可能只是输入一句”帮我看看这个问题”。
AI 最大的安全变化，不是让数据更容易泄漏，而是：它让数据外发看起来不像数据外发。 它让开发者感觉自己还在继续思考，但实际上，数据已经进入了另一个系统。未来真正需要建立的新习惯，不只是不要泄漏密钥，而是：每一次把内容交给 AI 之前，都意识到：这不是继续思考，这是一次数据交给另一个系统处理。
