AI生成代码的安全缺陷（如缺少能力检查、未转义输出）在语法层面合法，单元测试或功能测试难以覆盖，需手动审查权限逻辑和输出点才能发现。