事件经过
加拿大网络安全中心（隶属于加拿大通信安全机构）发布了指南《“氛围编程”中的安全管理风险》（ITSM.60.043），针对AI生成代码/“氛围编程”的安全风险进行了阐述。该指南涵盖：谄媚现象（AI附和用户并掩盖不安全输出）；薄弱/不安全的代码及代码审查的必要性；代码来源（生成的代码可能从训练数据中继承脆弱、过时或恶意的模式）；供应链完整性（供应商信任层级分析、安全/数据条款、软件物料清单）；对幻觉包名或库的“slopsquatting”/“typosquatting”攻击；通过AI工具或AI提供商训练条款造成的信息泄露；以及在AI生成代码时，架构安全设计的刻意性缺失。该指南的核心结论是：生成安全、可靠、可投产的代码仍需要专业技术，且审查、测试和批准要求应根据代码风险级别进行相应调整。关于日期的说明：发布日期无法从已获取的页面或搜索结果中确定（没有可恢复的日期元数据），因此提请QA裁决，该日期可能处于也可能不处于本报告期内。
影响分析
CCCS是与NCSC/CISA/NSA齐名的国家网络权威机构。这是首个专门针对AI编码工具/“氛围编程”风险的国家级指南，并且已在市场中（例如，一篇关于AI生成代码尽职调查的2026年11月1日文章）被引用为评估软件交易中AI编写代码的审查分类体系。它确立了加拿大权威立场，即治理AI生成代码是一项安全责任，包括AI生成依赖项中的slopsquatting供应链风险，以及围绕AI提供商的数据来源/使用条款问题。
建议行动
使用AI编码助手的组织应参考该指南，并对齐代码审查、SBOM/依赖扫描、AI供应商数据条款及代码来源控制措施。QA或后续研究应确认其发布日期，以确定该指南是否属于报告期内的新出版物。