三十天，終於寫完了。

感謝我參加 LINE 資安群組裡各位大大們，這三十天對我的不吝指教。
也感謝飛飛老師不斷地鼓勵跟支持我們把這三十天完成。
感謝願意繼續看下去的人

中間我其實一度想放棄，因為開賽幾天後才突然想到，
我早就安排好要參加 HTB 的考試，當時真的很怕自己根本沒有時間每天寫文章。

更好笑的是，一開始我其實也沒有想好每天到底要寫什麼。
結果寫到最後才發現，不是沒東西寫，是三十天根本不夠用。

原本以為可以在這三十天把一整個完整的系統做出來，結果光是把我想講的企業納管概念、開發觀念、開發流程和注意事項講清楚，就花了超多時間。

真正要開始實作的時候，也只做到需求、架構、威脅盤點和專案包。但這算失敗嗎？

我回頭看了一下，也重新想了一下，或許大家真正需要的不是我教大家在 Vibe Coding 裡面怎麼寫程式。

而是如何讓 Vibe Coding 做出來的東西「比較安全」。
對，是「比較安全」

因為在我現在所在的企業裡，每天、每週、每個月，總會有各種你原本根本想不到的事情發生。
從網路慢慢轉向資安這幾年，我學到的一件事情就是：
資安從來沒有絕對的安全，每一個規劃、每一個系統、每一個需求，最後都還是得跟現實面妥協。

但如何讓企業裡一個原本完全沒有把資安列入考量的專案、工具或需求，
一步一步變得比較安全，最後能夠在企業環境裡上線，仍然是我一直在努力學習的課題。

總結一下整個系列

大概就是三件事情

一：企業面對 Shadow AI / IT 到底該怎麼辦。

這是目前各個企業正在發生的事情，有人有需求，
自己用 AI 做了一個工具，覺得很好用，就放到某個地方給大家用。
東西可能真的很好用，比委外開發更符合他們加快作業流程的需求，做的人也真的是好心。

但這是企業不是你家，你在家想煮什麼就煮什麼，你想在廁所裡面放一台桌上型電腦桌也沒人會阻攔你

但企業在意的事情不一樣。
沒人知道它放在哪、裡面有什麼、誰在維護、資料去了哪裡，甚至哪一天出問題了，可能也不知道該找誰。
有人可能會說：「我就放在某個平台上啊，企業開放那個平台不就好了？」
但企業要怎麼管理這個平台？
企業資料丟上去之後會發生什麼事情？
今天一個原本很好用的平台被企業開放了，其他員工開始把它當成筆記本，什麼資料都往上丟，又會發生什麼事情？
還是提出「開放平台」的人，願意替全企業承擔這個風險，出了事情由他負責？
所以問題從來都不只是「這個平台好不好用」。

然後是企業有辦法全部禁止嗎？ 老實說，寫了三十天我仍然覺得禁不掉。
不斷有新的YT、FB影片出來，每幾天就看到新的網紅在開課教大家Vibe Coding，在這個時代中這種需求只會不斷成長更新。

所以我覺得該做的 不能只有禁止，是如何納管
也就是我在講的那個市集的概念，與其讓他們在外面到處丟不如蓋一個讓他們做完可以丟到企業內部使用。

二：如何讓你使用 Vibe Coding 的時候會比較安全。

把 SSDLC 的概念套進 Vibe Coding，從需求確認、架構設計，到分 Phase 開發、測試、部署和後續維運。

我其實不斷在強調的一件事情是 AI 做完，人要確認
因為 AI 現在真的可以做很多事情，而且速度快到你根本看不到車尾燈。

它一次改幾千行、幾萬行程式碼不是問題；
他記憶力比你還好，當他願意的時候他會說你前面講了A現在又說B，你到底要哪一個
Agent 可以幫你裝套件、跑指令、讀檔案，甚至自己想下一步要幹嘛。

在這個不斷講零信任的時代，為什麼你遇到AI就變成了全信任呢?

三：把我說的東西如何套用到AI開發裡面，利用AI來完成該做的事情

準備一個隔離的開發環境、跟 AI討論需求、確認架構、做簡易的威脅盤點，
再把前面的結果整理進CLAUDE.md、settings.json、PHASES.md。

然後也提到了現在大家最容易忽略的Skill、Plugin以及 AI 開發過程的供應鏈和可追溯性。

最終這個市集系統還沒真的蓋完，但至少我認為已經把該想的事情該做的事情跟大家分享了
這些東西或許在未來有更好的做法，畢竟AI進步這麼神速，
但至少在現在是可以把整個流程，納進去開發所有系統跟專案的步驟中
來確保你開發出來的東西更安全
確保你煮完的東西不會讓人食物中毒住院

最後 我想回到我的主題『只要有心，人人都是食神』

謝謝每一個願意看我第一次參賽寫的文章。

這個系列其實就是我用資安的角度去看 Vibe Coding 這件情。

我不是開發者，雖然以前也學過C++、組合語言、資料結構，
但在念書的時候，我不是一個認真向學的學生，甚至覺得看到程式一堆邏輯就頭痛
曾經暗暗發誓過，出了社會絕對不靠寫程式吃飯

但Vibe Coding橫空問世之後，像我這種人曾經極度抗拒的人也開始可以跟 AI 一起做出想要的程式。

這代表「做出來」這件事情的門檻正在快速降低，但我認為另外一個門檻不能消失：

做出來的東西，最終都是人承擔責任

這三十天，我不可能把大家變成一個專業開發者，
而且也不是說看完這三十篇，就可以解決所有Vibe Coding資安問題。

我只是想把自己知道的、看到的、想到的「做這件事情以前，至少還要注意什麼」整理下來分享給大家。

如果這三十天的內容，能讓一個原本拿到 AI產生的程式 準備直接上線的人，在按下部署以前多停一下：
能讓本來把Vibe Coding接入企業環境開發的人，立刻切斷連線並且改掉所有金鑰跟帳密
那我覺得這三十天就沒有白寫。

工具市集我還是會繼續蓋。

史帝芬周說：其實根本就沒有什麼食神！或者說，人人都是食神。老爸老媽、大哥小妹、男孩女孩……只要用心，人人都可以是食神。

這就是大 AI 時代，Vibe Coding 的實際狀況。
但專業的程式開發、系統開發的人不會因此消失。
反而是要學的東西變得更廣：不只要會寫程式，還要懂怎麼跟 AI 協作、怎麼驗它做的東西、怎麼確保做出來的東西是安全的。

如何創造雙贏更好的善用AI 是我們在這個時代最重要的課題