最近在琢磨一件事：AI 出来之后，我们手上这些软件——PC 上跑的、服务器上跑的——原来那一套安全设计还剩多少能用。

1. 硬编码的口令、密钥、Token。它从来就不安全，只是藏在二进制里，赌你找不到。
2. 混淆、加壳、代码虚拟化。防的是"读懂要两周"。
3. License 校验、激活码、反调试、软件的自保护机制。防的是"定位不到校验点"。这类东西从来不是密码学，是"逆向我太贵"。
4. 私有协议、私有算法、没写文档的本地接口和通信格式。防的是"外人不知道格式"。
5. 客户端校验、隐藏字段、"我的客户端不会这么发"。这条其实早就该死，AI 只是让它死得更彻底——而且现在能直接操作 GUI，"这系统没接口、只能手工操作"也不成立了。
6. 本地存的那些凭据。配置文件、注册表、本地库、内存里的 session。以前靠"在人家机器上，别人够不着"，现在能复制它的路子变多了：截图、日志、上下文、同步目录。

二、服务器端：服务端原来信的那些

1. Session、Cookie、JWT、API Key、分享链接、邀请码、magic link。这一整类都是"持有即身份"，复制一下就是你的了。
2. 验证码。防的是"机器答不了"，不是"答不对"。
3. 人脸、声纹这类生物因子。防的是"合成不出来"。
4. 一人一票、免费额度、试用限制、邀请制、账号年龄和信誉分。这几样防的是同一件事——一个人不能变成一万个人。现在防不住了。
5. 限流阈值、风控基线。这些数是按"人能有多快"标出来的。对面不是人，这个数就没意义了。
6. WAF 签名、正则、黑名单、schema 校验、表单枚举值。全靠"坏输入长得不一样"。可现在坏输入就是一句正常英文，形状没了。