夜雨聆风前言：行业趋势
当前AI编码已经从单点代码补全（1.0）、对话式编程（2.0）全面进入自主Agent全链路生成（3.0）周期，以OpenAI Devin、快手KwaiKAT、阿里云双Agent安全、Cloudflare多智能体审查为标杆，行业共识发生根本性变化：
- 1.旧模式：代码写完后置拦截，仅统计缺陷召回，属于被动救火，价值叙事单薄；
- 2.新模式：审查能力原生嵌入Agent生成循环，前置约束、自动修复、沉淀领域知识，实现质量左移、主动控风险；
- 3.行业淘汰点：纯手动调用skill、前后扫描标准割裂、仅覆盖空指针越界浅层漏洞、无量化代码可维护体系、多语言碎片化技术栈，这套架构在2026年企业级落地中已逐步被淘汰。
一、产品层：存量AICR稳中有升+AI Coding原生融合
（一）行业成熟方案对比
| 对比维度 | 我方当前现状 | 快手/Cloudflare头部方案 | 核心差距与业务伤害 |
| 能力一致性 | IDE前置Skill、CR后置两套标准，同代码分段报缺陷，研发反复返工 | 全入口能力打平，统一规则/知识库，缓存抹平模型差异 | 研发抵触工具，推广阻力大，AI编码渗透率增长停滞 |
| 人机交互模式 | 研发手动触发审查，分步操作，人工介入密度高 | Agent内置Harness插件，全流程黑盒自动化，仅输入需求即可生成合规代码 | 人力成本高，AI自动化效能指标差，述职无亮眼业务故事 |
| 覆盖缺陷维度 | 仅空指针、数组越界等运行类浅层bug | 安全+架构+性能+可维护性多层评判，量化技术债 | 只能解决表层问题，架构类线上故障无法提前拦截 |
| 全链路闭环 | 生成→审查→修复割裂，无需求/方案前置校验 | 需求-plan-code-review-fix完整自循环，前置识别架构缺陷 | 技术债持续堆积，AI编码"屎山"加速生成 |
| 价值度量 | 单一缺陷召回、标注量指标 | 渗透率、人工介入密度、线上故障下降、技术债消减多维指标 | 价值叙事单薄，无法体现质量左移核心贡献 |
（二）核心痛点
1. 能力不打平是底层产品硬伤
- • 行业通用左移数据显示：编码阶段发现缺陷修复成本仅0.5-2人天，上线后修复成本8-12人天，差距85%。我们前后标准不一致直接抵消左移价值；
- • 快手实践证明，多入口规则统一后研发采纳率从7.9%提升至54%；
- •我们当前根源：Skill、AICR两套规则库、上下文提取逻辑完全隔离，不同大模型（GPT/GLM）召回偏差无统一收敛机制，补丁分批报问题，研发二次返工是必然结果。
2. 流程割裂，未实现Agent原生融合
- • 行业标准Agent范式：审查不是外部工具，是生成器内置校验单元（Cloudflare七协同Agent架构）；
- • 当前我们是外挂skill，需要研发主动调用，属于2.0时代落后形态；
- • Devin等产品证明内置循环可实现13.86%问题自主修复，无需人工干预。
3. 审查边界狭窄，缺失长期质量管控
- • 业内多篇论文证实AI编码会加速技术债务生成，代码可读性、模块耦合、架构缺陷占线上故障60%以上；
- • 现有产品只盯运行异常，完全缺失可维护性量化评判，属于只解决"急症"不根治"慢性病"。
4. 链路不可控，统计口径混乱
- • 模型限流、多轮中断会丢失完整分析结论，上周讨论临时下线summary兜底策略，本质是基线数据失真；
- • 头部厂商统一双指标（原始流量/过滤后流量）拆分统计，规避数据虚高，这套标准化统计体系我们尚未产品化落地。
（三）产品形态
1. 存量AICR：稳中有升，夯实底盘
- • 持续迭代静态+AI混合扫描能力，逐步下线老旧AST、AISA碎片化规则，对齐行业80%自动化误报清理目标；
- • 产品侧新增全入口统一观测埋点，自动采集"同代码前后扫描结果不一致"案例，建立不匹配问题台账，按月收敛差异；
- • 统一缺陷输出标准，实现单补丁一次性输出全部风险，消除分段告警带来的研发抵触。
2. AI Coding融合（Harness插件）
对标OpenAI Harness、Cloudflare插件生命周期架构，自研Agent原生审查插件，核心特性：
- •意图识别自动触发审查，完全摆脱用户手动调用skill、分步输入依赖；
- • 内置多轮API重试机制，解决TPM限流、交互中途中断丢失结论的行业通用痛点；
- •完整闭环：需求输入→自动生成→自检→模型自主修复→二次复核，对研发完全黑盒；
- •分层分级调度：模型分级（GPT5.5/GPT4/GLM5.0）、场景分级（L1静态/L2语义/L3复杂业务规则），不同场景匹配专属Prompt，兼顾准确率与调用成本。
3. 全链路能力打平工程落地
- • 统一IDE、线上AI平台、CR三大入口的风险规则、判定标准、知识库；
- • 引入全局缓存机制抹平不同模型召回差异，一套判定逻辑全渠道复用；
- • 打通产品数据层，统一转化率双统计口径（原始待分析流量、过滤后有效流量），区分低优先级场景过滤流失量，杜绝数据失真。
4. 技术债全生命周期产品
- • 搭建AI代码可维护性量化评判方法论：参考美团代码质量打分体系，覆盖圈复杂度、耦合度、文档完整度、高危函数四类打分维度，0-100量化评级；
- • 定时批量离线全库扫描，摆脱人工提报模式，配套GCA技术债自动回收闭环；
- • 评判结果回流Agent，形成"生成-质检-优化提示"自迭代循环，从源头降低AI劣质代码产出。
5. 长期建设
跳出"只做扫描工具"定位，完整打磨产品形态、优化研发易用性、全业务线规模化对接；团队输出必须具备独立可量化业务价值，述职叙事从"查出多少bug"升级为"前置拦截架构风险、降低线上故障、减少研发返工工时"。
二、核心技术架构
（一）多厂商架构对比
| 厂商 | 代码扫描底层架构 | 上下文处理方案 | 多语言支持模式 | 核心优劣势 |
| OpenAI Devin | 单主控统一调度，内置MCP知识库 | CodeGraph预索引全局代码 | 跨语言统一IR中间层 | 自动化极强，但自研成本极高 |
| 快手KwaiKAT | 知识引擎+统一上下文服务，分层规则 | TreeSitter解析+符号索引 | 一套主控适配多语言 | 落地成本适中，企业级适配强 |
| 阿里云双Agent | 扫描+复核双独立调度引擎 | 统一上下文抽取SDK | 公共能力下沉，语言层轻量化 | 误报控制效果突出 |
| 我方当前 | C++/Go/Python多套独立主控，上下文各语言单独开发 | 无公共服务，各业务自研提取逻辑 | 语言栈完全割裂，重复开发 | 维护成本高、标准无法统一、能力无法打平 |
（二）四大核心架构
Top1：自研Harness Agent插件化架构
- • 底层Hook钩子机制嵌入AI编码Agent运行流，无需上层业务额外指令，自动执行审查、多轮修复；
- • Skill轻量化标准化接入，摒弃当前外挂调用模式，实现审查能力原生内建；
- • 内置限流、TPM多轮重试兜底，解决之前讨论"交互两三轮中断、无完整结论"历史问题；
- • 区分单层/多层跨库检索逻辑，通过工程脚本可控递归，规避递归爆炸、超时失效痛点。
Top2：统一公共上下文服务
- •现状痛点拆解：当前C++、Go、JVM各语言独立开发上下文提取逻辑，无统一SDK/公共服务，重复开发、标准割裂，直接导致前后扫描能力无法打平；CodeGraph行业数据证明统一上下文可减少57%Token消耗、70%工具调用次数。
- •改造方案：
- • 抽离独立公共上下文底层服务/SDK，全链路（AI前置、CR后置、跨库分析）统一调用；
- • 底层基于TreeSitter做AST解析，搭配符号索引、代码图谱，支持按风险场景自动精简上下文片段，过滤无关代码，降低模型负载；
- • 统一支撑单层浅层跨库提取+可配置多层递归检索，可按需开关递归层数，平衡准确率与耗时；
- •三大底层统一目标配套落地：主控调度统一、上下文服务统一、全语言扫描检查能力统一。
Top3：多语言SA主控收敛，淘汰碎片化AST/AISA
- •当前问题：多套独立主控，存量AST、AISA静态规则分散维护，AI模型与静态规则召回结果不一致，漏报、误报差异无法收敛；
- •落地动作：逐步下线各语言独立调度工程，收敛一套通用主控框架，统一规则分发、指标计算、结果输出；
- • 对齐AI召回占比提升目标，针对静态/模型漏报场景做对齐补齐，缩小两类能力差距。
Top4：动态编码约束自动生成（区别于静态规则，行业增量创新点）
- •机制：基于Agent多轮交互记录、RD驳回缺陷、线上故障案例自动沉淀模块专属编码约束；
- •约束覆盖：模块禁用高危函数、空指针强制防御、框架专属校验、架构限制；
- •落地价值：约束自动供给模型作为生成前置输入，从源头规避同类风险，实现前后扫描规则天然打平，无需人工同步维护两套规则库。
三、全域分层数据&知识工程
（一）三层数据沉淀体系
1. 会话交互层（Workspace数据）
全量采集AI编码Agent完整交互链路，沉淀需求、生成代码、缺陷、修复记录，提炼代码生成优化点，反向迭代Prompt与编码约束。
2. 底层代码知识底座
- • 采用行业成熟组合方案：CodeGraph代码图谱 + TreeSitter符号索引 + LLM语义增强API；
- • 全局+模块两级知识库，预索引代码调用关系、依赖链路，解决跨库上下文残缺、模型找不到关联代码的核心痛点；
- • 统一供给前置Skill、后置AICR、跨库分析全链路复用，消除各业务重复建库成本。
3. 业务领域知识层
沉淀RD提交驳回原因、历史线上故障、模块专属风险特征，自动提炼领域专属校验规则，大幅降低同类场景误报（快手实践可降低30%+误报）。
（二）数据分层运营体系
- •模型分层调度：GPT-5.5、GPT-4、GLM-5.0按场景、成本自动路由，兼顾效果与调用成本；同步推进高消耗按量付费资源下线、存储包扩容控成本（会议成本议题落地）；
- •风险场景分层：L1静态简单规则、L2语义中等风险、L3复杂业务架构风险，分层匹配知识库与推理深度，平衡Tpm消耗与识别精度。
四、度量基线、落地节奏与差异化竞争力
（一）全新量化评估基线（抛弃单一召回指标）
- 1.业务基线：AI编码工具渗透率、研发人工介入密度（行业核心效能指标，人工操作越少代表自动化成熟度越高）；
- 2.技术基线：AI缺陷召回覆盖率、前后扫描结果一致性率、自动化误报清理比例、技术债月度消减规模；
- 3.成本基线：模型日均调用开销、上下文Token平均消耗、存量碎片化工程维护人力成本。
（二）分阶段落地节奏
| 阶段 | 时间周期 | 核心里程碑 |
| 短期 | 1-4周 | 下线summary兜底策略，采集无过滤真实数据基线；下线高价按量付费模型资源，完成存储扩容；梳理全入口能力不匹配问题台账 |
| 中期 | 5-10周 | 完成Harness插件PoC、统一上下文服务开发；落地动态编码约束生成；收敛多语言主控、启动AST存量规则下线 |
| 长期 | 全周期 | 搭建可维护性打分体系、全量知识库落地；完成AICR与AI Coding产品能力打通，实现全链路闭环 |
（三）我方差异化行业竞争力
- 1.兼顾存量AICR稳定迭代与AI Coding原生融合，多数厂商只侧重一端，我们实现存量+新场景双覆盖；
- 2.统一上下文公共服务+动态编码约束双能力，同时解决"能力打平"与"上下文残缺"两大行业共性痛点；
- 3.技术债+代码可维护性完整量化体系，多数厂商仅覆盖安全漏洞，我们补齐长期代码质量管控；
- 4.轻量化Harness插件不强制重度改造业务Agent，业务接入改造成本低于Cloudflare、OpenAI重架构方案。
五、团队产出导向
- 1.产品侧：不再单纯堆砌缺陷数据，叙事转向研发提效、线上故障前置拦截、技术债务治理；
- 2.技术侧：完成底层架构统一升级，消灭多语言、多入口碎片化历史技术债，搭建可复用Agent审查基础设施；
- 3.全员产出标准：每个模块、个人产出具备独立可量化业务/技术价值，避免仅做辅助性支撑工作；
- 4.核心主线不变：AICR稳中有升为基本盘，AI Coding原生Harness插件、统一上下文架构为技术升级核心抓手。