從混亂實驗到企業合規的五階段進階路徑
在生成式 AI 與各種 Agent 工具的推波助瀾下，軟體開發速度正經歷前所未有的爆發。然而當 AI 寫程式碼的速度超越人類審查的速度，缺乏治理的開發只會加速累積技術債、資安漏洞與合規風險。本文延續「AI 輔助開發成熟度模型（AIADMM）」的架構，以「合商業、不作假、不亂搞、不越權」四大治理願景為導讀地圖，完整拆解從 Level 2 到 Level 5 的企業級進階路徑，協助 CIO 與 CISO 建立系統性的 AI 開發治理體系。
文／裴有恆
在生成式 AI 與各種 Agent 工具的推波助瀾下，軟體開發的速度正經歷前所未有的爆發。然而，當 AI 寫程式碼的速度超越了人類審查的速度，缺乏治理的開發只會加速累積技術債、資安漏洞與合規風險。
為了解決這個架構失控的問題，並協助 CIO 與 CISO 進行精準的風險管控，我在上一篇文章〈建立企業做 Vibe Coding 的防禦機制：導入 AI 輔助開發成熟度模型（AIADMM）〉中提出了「AI 輔助開發成熟度模型（AI-aided Development Maturity Model，簡稱 AIADMM）」。這套模型共分為五個階段，分別為 Level 1 單點應用期、Level 2 企劃驅動期、Level 3 架構審查與除錯期、Level 4 工具掃描與弱點防堵期，以及 Level 5 合規與審計期。這套模型的終極目標，是協助企業達成「合商業、不作假、不亂搞、不越權」的四大治理願景。以下我們將這十二字箴言作為導讀地圖，拆解從 Level 1 到 Level 5 的進階路徑。
前情提要——多數企業深陷的 Level 1 單點應用期
在導入 Vibe Coding 的初期，企業普遍會經歷 Level 1 單點應用期。根據筆者在第一線輔導企業的觀察，在這個階段，工程師或員工往往將 AI 視為個人輔助工具，憑直覺隨意下達提示詞（Prompt）生成程式碼，完全缺乏統一管轄。
Level 1 雖然換取了極快的開發速度，但本質上是一場「不可控的實驗」。如果沒有建立相應的防禦機制，企業將面臨以下三大致命風險：
- 被繞過的邏輯護欄（模型注入攻擊）：例如工程師在開發過程中，無意間引導 AI 生成了繞過系統原有安全權限檢查的程式碼。
- 埋在程式碼裡的未爆彈（金鑰裸奔）：如 AI 生成了包含敏感金鑰硬編碼（Hardcoded Secrets）的程式碼，一旦部署至公網，將導致企業機密瞬間曝險。
- 盲目引入的毒蘋果（開源版權與供應鏈污染）：像是 AI 在生成過程中引用了具備版權法律爭議、或存在安全漏洞的開源套件片段。
要將這種不可控的實驗轉化為真正的企業級生產力，真正的解方在於導入「AI 產品架構師（AI Product Architect）」的角色，從架構層面進行系統性的調度與防禦。
接下來，我們一起從 Level 2 一路走向企業級的 Level 5。
Level 2 企劃驅動期——確保產出「合商業」，拒絕無效開發的脈絡注入
要跨越 Level 1 的混亂，企業必須進入 Level 2，用產品的商業思維來約束 AI 的行為，將商業需求轉化為結構化的引導。在這個階段，我們要解決因缺乏脈絡而產出與實際業務邏輯脫節、甚至無法對齊商業 ROI 的無效系統的問題，這需要透過以下機制確保生成品質：
- 脈絡注入（Context Injection）：AI 不懂企業內部的領域知識（Domain Know-how），更不知道公司的商業邏輯。AI 產品架構師必須在動手前，將複雜需求轉化為結構化的上下文，明確告訴 AI 系統的邊界在哪裡。
- 高品質的 PRD 驅動：透過清晰的產品規格文件（PRD），強制定義「AI 絕對不能做什麼」以及「遇到錯誤時的預設行為」。
- 階段成果：確保 AI 不再只是瞎猜，而是產出精準符合商業邏輯與領域知識的最小可行產品（MVP），達成「合商業」的初衷。
然而，Level 2 雖然解決了「亂寫」的問題，MVP 程式碼中仍可能潛藏著高階的「AI 幻覺（Hallucination）」，這就需要進入下一階段。
Level 3 架構審查與除錯期——對 AI 產出進行靈魂拷問，確保產出「不作假」
如果說 Level 2 是讓 AI「做出來」，那麼 Level 3 就是讓 AI 的產出「可被信任與審查（Trustworthy & Reviewable）」。這是 Vibe Coding 能否真正進入企業商用環境的黃金分水嶺。在這個階段，AI 產品架構師必須針對 AI 產出的結果進行靈魂拷問，並同步建立自動化驗證與測試機制。
筆者在實務中發現，AI 常在任務僅達成 30% 時便宣告完成（幻覺完成），若缺乏架構師的深度追問與嚴格的測試案例驗證，這些邊界缺失的邏輯將成為企業系統的未爆彈。
為了應對這種「提早交卷」的幻覺，架構師必須透過「AIQA 協作閉環」——利用雙 Agent 的互審與測試生成機制，產出四大核心防禦文件：
- 風險識別清單（Risk Register）：找出 AI 邏輯中可能導致功能失效、極端情境崩潰，或是資料誤用的潛在風險。
- 缺失的驗收標準（Missing Acceptance Criteria）與測試案例：架構師必須找出 AI 沒有定義清楚的邊界條件，補齊驗收標準，並要求 AI 同步生成對應的單元測試或整合測試腳本，以自動化手段防堵高階幻覺。
- 架構檢視發現（Architecture Findings）：精準審查系統架構並剔除垃圾程式碼，檢視 AI 生成的流程是否存在斷點，以及程式碼是否具備良好的可測試性。
- 具體修復計畫（Fix Plan）：針對測試失敗或審查發現的問題，提出具體、可追蹤的下一步修改方案，引導 AI 進行精準重構。
透過這四份文件與測試報告納入內控審查流程，企業才能確保 AI 的產出「不作假」，讓系統具備實質的可信度與可持續維護性。
做到 Level 3，AI 的產出才算具備了可信度，不再是盲目上線的黑箱。但那些肉眼難以察覺的底層資安漏洞與開源版權地雷，依然伺機而動。
Level 4 工具掃描與弱點防堵期——構築自動化護欄，確保系統開發過程「不亂搞」
當 AI 產出的程式碼準備進入企業的 CI/CD 流程時，必須導入自動化的安全閘道（DevSecOps）。這不僅是 IT 部門的工作，更是 AI 產品架構師必須規劃的治理流程。
- 核心機制與治理重點：企業必須結合自動化資安掃描工具與開源授權清查工具。重點在於攔截那些肉眼難以察覺的底層資安漏洞、未授權的相依套件，並透過掃描基礎架構配置，識別並攔截那些權限設定過於寬鬆、不符合「最小權限原則」的 API 存取請求。
- 階段成果：Level 4 透過自動化護欄精確控制程式碼的「執行邊界」，確保 AI 產出在運行時不會進行計畫外的存取。這能有效攔截程式碼中潛藏的「毒蘋果」——例如引用了包含嚴重漏洞的套件，或是自動生成了試圖存取未授權資料來源的危險指令。這種嚴格管控確保了開發過程「不亂搞」，達到實質的風險可控。
Level 5 合規與審計期——確保其行為「不越權」，達成真正的企業級生產力
最後一哩路，是讓 AI 開發完全符合企業內部政策與外部法規（如 ISO 27001、ISO 42001 或 GDPR）。在這個階段，AI 開發流程被正式納入企業的軟體生命週期管理（SDLC）中。
- 核心特徵：AI 系統的每一行修改、每一段程式碼的生成路徑都具備不可竄改的稽核日誌（Audit Log）；系統更會自動產出合規標準映射與剩餘風險報告。最關鍵的是，必須經由人類主管（如 CIO/CISO 及 IT 經理）進行最終放行簽核（Final Sign-off），並配備上線後的 AI 行為監控告警。當系統異常時，CISO 既能透過日誌精準追溯 AI 生成邏輯，更能明確對應人類的審核責任歸屬，徹底終結黑箱開發。
- 階段成果：確保 AI 的一切行為絕對「不越權」，讓每一行程式碼的來源、變更與維運都受到企業剛性治理。這讓 AI 從單純的開發工具，正式蛻變為透明、受控、且具備行政當責性（Accountability）的企業級商業資產。
AI 治理的終極目標——合商業、不作假、不亂搞、不越權
從 Level 1 的混亂實驗到 Level 5 的企業合規，AIADMM 模型不只是為了控管，更是為了讓 AI 成為企業真正的戰力。我們透過這五個階段，協助 CIO/CISO 達成四個核心治理目標：
- 「合商業」：對應 Level 2，透過脈絡注入與高品質 PRD 驅動，確保 AI 不再只是瞎猜，而是產出精準符合商業邏輯與領域知識的 MVP 產品。
- 「不作假」：對應 Level 3，透過靈魂拷問，有效戳破 AI 的邏輯幻覺，確保產出內容可被信任與審查。
- 「不亂搞」：對應 Level 4，透過自動化資安掃描與 DevSecOps 護欄，限制執行邊界，確保系統開發過程風險可控。
- 「不越權」：對應 Level 5，透過完整的稽核日誌與合規流程，確保每一項決策軌跡皆符合政策，讓 AI 成為可負責的商業資產。
這套「合商業、不作假、不亂搞、不越權」的治理標準，正是 AI 產品架構師最核心的職責。唯有建立起這樣的成熟度模型，企業才能在追求 Vibe Coding 極速省錢的同時，也安全地抵達真正商業化的終點。
「Vibe Coding 時代不需要更多的工程師，而是需要一位能『調度 AI』的架構師。」
作者簡介： 裴有恆（Rich 顧問）專注於 AI Agent 及雙軸轉型技術與商業策略的落地應用。身為《AIoT 數位轉型》系列暢銷書作者與「AI 產品架構師」，擅長結合 NPDP 產品經理思維與最新 AI 工具（如 Vibe Coding、MCP 架構），協助企業與專業人士在綠色數位轉型中取得先機。現致力於推廣「安全且高效」的企業級 AI 實作方法論。(本文授權非營利轉載，請註明出處：CIO Taiwan)
