Vibe Coding 讓開發者可以用自然語言快速完成產品。你描述需求，AI 產生程式碼。幾輪修改後，登入、付款、後台和資料庫都能動了。

但「能動」不等於「能上線」。

程式可能把使用者資料傳給不該取得資料的人。API 可能只檢查使用者是否登入，卻沒有檢查他能不能讀取這筆資料。錯誤訊息和日誌也可能記下電子郵件、Token 或其他敏感資訊。

服務上線後，問題還會更多。系統可能沒有健康檢查，也沒有監控錯誤率。外部 API 變慢時，程式可能一直等待。資料庫遷移失敗時，團隊也可能沒有回滾方法。

這些問題不只屬於資安，也涉及隱私、SRE 和部署流程。

我想解決什麼問題？
Vibe Coders 通常缺少的不是做出功能的能力，而是檢查正式環境風險的時間與經驗。

現有工具可以掃描程式碼、套件漏洞或 Secret，但工具各自處理不同問題。開發者仍要理解報告、判斷風險，並決定先修哪一項。對剛完成第一個產品的人來說，這個門檻並不低。

因此，我想打造一位 AI Production Readiness Agent。它會在產品上線前閱讀專案，找出具體風險，並說明判斷依據。

這位 Agent 預計檢查五類問題：

1. 資安：認證、授權、輸入驗證、Secret 與相依套件。
2. 隱私：個人資料暴露、過度蒐集、後台權限與日誌內容。
3. 可靠性：Timeout、Retry、錯誤處理、健康檢查與服務降級。
4. 可觀測性：Logs、Metrics、Traces 與告警條件。
5. 部署：環境設定、資料庫遷移、備份與回滾策略。

Agent 不應只丟出一張很長的 Checklist。它必須指出問題出現在哪裡、什麼情境會觸發，以及問題會造成什麼影響。Agent 如果沒有足夠證據，也應清楚標記不確定性。

為什麼使用 Google AI？
我會使用 Google AI Studio 和 Gemini 開發 Agent 的分析能力。Gemini 將閱讀專案資訊、呼叫檢查工具，並輸出結構化結果。Firebase 則負責使用者登入、專案資料與掃描紀錄。

後續實作不會只呼叫一次模型，再把回答顯示在畫面上。我會把流程拆成多個角色：

偵察 Agent 先整理系統架構、資料流與信任邊界。
檢查 Agent 從資安、隱私和 SRE 等角度尋找問題。
驗證 Agent 重新檢查證據，嘗試推翻前一個 Agent 的判斷。
報告 Agent 整理風險、證據、影響與修復建議。
這個分工有一個重要目的：降低誤報。

AI 很容易把「可能不夠完善」寫成「存在嚴重漏洞」。例如，後台顯示使用者的 Gmail，不一定代表資料已經外洩。我們還要確認誰能進入後台、顯示資料是否符合業務需求，以及 API 和日誌是否把資料交給未授權的人。

沒有攻擊路徑和具體影響，就不該直接判定為漏洞。

30 天後要交出什麼？
這 30 天不會只整理資安與 SRE 名詞。我會建立一個含有常見問題的示範專案，逐步實作檢查規則、Agent 流程、結構化報告與評估方法。

最後，我希望完成三項成果：

一個可以操作的 Production Readiness Agent。
一套涵蓋資安、隱私、可靠性與部署的檢查方法。
一組可以衡量檢出率、誤報率與報告品質的測試案例。
明天，我們先回答最基本的問題：一個產品符合哪些條件，才算準備好進入 Production？