AI 代码安全审计与人工代码评审应如何配合？

1. 分工定位

AI 审计擅长规模化、确定性、可重复的扫描与验证，适合覆盖全量代码与已知模式；人工评审擅长业务语义、架构权衡与复杂逻辑判断，二者互补而非替代。

2. 机器前置、人工聚焦

将 AI 审计嵌入编码与合并请求阶段，先行拦截明显漏洞与敏感信息，把人工评审的精力释放到业务逻辑、权限模型与安全设计等需要人类判断的高价值环节。

3. 关键变更强制人工复核

对涉及鉴权、支付、数据导出等高危模块的 AI 生成变更，设置强制人工复核卡点，确保"模型提议的变更"在合入前经过人类验证，而非默认信任自动结论。

4. 评审结论反哺模型

将人工确认的正确/误报结论回流为反馈信号，用于调优规则权重与判定阈值，使审计系统随时间更贴合团队代码风格与业务语境，形成正向循环。

5. 闭环治理机制

以"AI 前置扫描 + 人工聚焦复核 + 结论反哺调优"构建闭环，使安全团队在 AI 高速产码的节奏下，仍能维持与人工代码同等、甚至更高的安全水位。