AI 时代的基础设施即代码：当任何人都可以部署时，什么仍然重要
Stack Overflow 播客邀请了 IBM 开发者倡导者 Rosemary Wang，探讨当 AI 开始编写和部署基础设施即代码（Infrastructure-as-Code, IaC）时，这个领域会发生什么变化。讨论涵盖了为什么安全护栏仍然滞后于采用速度、"任何人都可以部署"意味着什么，以及为什么深度系统知识在 AI 时代仍然至关重要。
AI 如何改变 IaC
从手写代码到 AI 生成
传统的 IaC 工作流是：
- 开发者学习 Terraform/Pulumi/CloudFormation 等工具
- 手写基础设施定义代码
- 提交代码审查
- 通过 CI/CD 流水线部署
AI 改变了这个流程：
- AI 可以根据自然语言描述生成 IaC 代码
- AI 可以自动修复配置错误
- AI 可以推荐最佳实践和安全配置
- AI 可以自动执行部署
这意味着编写 IaC 的门槛大幅降低，更多人可以参与基础设施的定义和部署。
"任何人都可以部署"的含义
Rosemary Wang 指出，AI 让"任何人都可以部署"成为可能。这带来了几个重要变化：
- 角色边界模糊：开发者、运维工程师、甚至产品经理都可以定义和部署基础设施
- 部署频率增加：更低的门槛意味着更多的部署请求
- 知识分布变化：基础设施知识不再集中在少数运维专家手中
- 创新速度提升：团队可以更快地试验新的基础设施配置
护栏仍然滞后于采用
安全问题
尽管 AI 让 IaC 变得更容易，但安全护栏（guardrails）仍然滞后于采用速度：
- AI 生成的代码可能不安全：AI 可能生成包含安全漏洞的配置，如开放的安全组、未加密的存储
- 策略即代码（Policy-as-Code）覆盖不足：很多组织的 OPA/Sentinel 策略没有覆盖所有场景
- 人工审查瓶颈：更多的部署请求意味着更多的代码审查需求，但审查人员没有增加
- 合规性风险：AI 生成的配置可能不符合行业合规要求（HIPAA、GDPCI 等）
成本问题
AI 生成的 IaC 还可能带来成本问题：
- 过度配置：AI 可能推荐过大的实例类型或过多的资源
- 资源蔓延：更容易的部署意味着更多的资源被创建但未被清理
- 缺乏成本意识：非运维背景的用户可能不了解云资源的成本结构
深度系统知识仍然重要
AI 不能替代的东西
Rosemary Wang 强调，尽管 AI 可以生成 IaC 代码，但深度系统知识仍然至关重要：
- 理解底层原理：AI 可以生成代码，但理解为什么这样配置需要深度知识
- 故障排查：当部署失败或系统出现问题时，需要深度系统知识来定位和修复
- 架构决策：选择合适的架构模式、权衡不同方案需要经验和判断力
- 安全思维：识别潜在的安全风险、设计纵深防御需要专业知识
- 成本优化：在满足需求的前提下优化成本需要对云服务定价模型的深入理解
AI 是增强工具而非替代品
正确的定位是：AI 是增强工具，不是替代品。AI 可以：
- 加速重复性的配置工作
- 提供最佳实践建议
- 自动检测常见错误
- 生成初始配置模板
但人类专家需要：
- 审查和验证 AI 生成的配置
- 做出架构层面的决策
- 处理复杂的故障场景
- 确保安全和合规要求
- 优化成本和性能
实践建议
1. 加强护栏建设
- 实施策略即代码（OPA、Sentinel、CloudFormation Guard）
- 建立自动化安全扫描（Checkov、tfsec、kics）
- 设置成本告警和预算限制
- 实施审批工作流，特别是生产环境的部署
2. 投资知识传承
- 建立内部知识库和最佳实践文档
- 定期进行技术分享和培训
- 实施导师制度，帮助新人建立深度系统知识
- 记录架构决策（ADR）和故障复盘
3. 人机协作模式
- AI 生成初始配置，人类专家审查和优化
- AI 处理重复性任务，人类专注于架构决策
- AI 提供建议，人类做出最终判断
- AI 辅助故障排查，人类主导根因分析
4. 渐进式放权
- 先在非生产环境允许 AI 辅助部署
- 建立信任后逐步扩大范围
- 始终保留人工审批的关键节点
- 定期评估 AI 生成配置的质量和安全性
总结
AI 正在深刻改变基础设施即代码的实践。它降低了门槛，让"任何人都可以部署"成为可能，加速了创新速度。但安全护栏仍然滞后于采用，带来了安全和成本风险。更重要的是，深度系统知识在 AI 时代仍然至关重要——AI 可以生成代码，但理解底层原理、排查复杂故障、做出架构决策仍然需要人类专家。正确的做法是把 AI 作为增强工具，加强护栏建设，投资知识传承，建立人机协作模式，而不是试图用 AI 完全替代人类专家。
来源：https://stackoverflow.blog/2026/07/08/what-s-left-for-infrastructure-as-code-after-ai-moves-in/