AI 生成 Code 怎麼測 — Copilot / Cursor 寫的 Code 給 QA 的新挑戰

「Dev 用 Copilot 寫 code 變 3 倍快、QA 接到的 bug 也變 5 倍多」 — 這是 2026 年大多公司的真實狀況。AI 寫 code 有它特有的 bug pattern、傳統 QA 方法抓不到。這篇給你新時代 framework。

結論：AI 不是讓 code 變好、是讓寫 code 變快、bug 變多。QA 工作量爆增、不是減少。

1. 幻覺 API

// AI 寫的
import { useDebouncedCallback } from 'react-use';
const debouncedFn = useDebouncedCallback(handler, 500);

// 真實情況：'react-use' 沒有這 hook、是 use-debounce package 的
// → Build 過、runtime 爆

QA 對策：

• ESLint + eslint-plugin-import 抓不存在的 import
• 跑 build 在 CI 上強制

2. 過時 library 用法

// AI 寫的 — 用 React 17 寫法
class MyComponent extends React.Component {
  componentWillMount() { /* deprecated */ }
}

// React 18+ 已 deprecate
// 跑得起來但會 warning + 之後爆

QA 對策：

• 升級 deprecated API checker
• 看 console warnings

3. Security 漏洞

# AI 寫的
def search_users(query):
    sql = f"SELECT * FROM users WHERE name LIKE '%{query}%'"
    return db.execute(sql)

完美的 SQL Injection。AI 不會自動用 parameterized query。

QA 對策：

• SAST 工具（Semgrep / CodeQL）
• 跑 OWASP Top 10 測試（見 Security Testing）

4. Race condition

// AI 寫的
async function transferMoney(from, to, amount) {
  const balance = await getBalance(from);
  if (balance < amount) throw new Error('Insufficient');
  await updateBalance(from, balance - amount);
  await updateBalance(to, await getBalance(to) + amount);
}

沒 transaction、沒 lock、雙寫 race。

QA 對策：

• Concurrent test case
• 壓力測試（同時 100 個 request）

5. Edge case 漏

AI 寫 happy path 完美、邊界錯：

• 空陣列 / null / undefined
• 負數 / 零 / 極大值
• 字串含特殊字元
• 日期跨時區

QA 對策：

• 等價分割 + 邊界值 test
• Property-based testing（hypothesis / fast-check）

6. Error handling 不一致

// 同 codebase 同 dev 同 session 寫的兩個函式

async function fn1() {
  try { return await api1(); }
  catch (e) { throw new Error('API1 failed'); }
}

async function fn2() {
  return await api2().catch(e => { console.log(e); return null; });
}

錯誤處理風格不一致、QA 測試行為差。

QA 對策：

• 強制 error handling 規範
• Test「失敗路徑」跟「成功路徑」一樣多

7. 隱藏依賴

AI 自動 npm install some-package、可能：

• 是 typosquatted package（typo 攻擊）
• 過期 / abandoned
• License 衝突（GPL → 商用問題）

QA 對策：

• Snyk / Socket.dev 掃 dependency
• Dependabot alerts

QA 的新技能：用 AI 反過來「審查」AI 寫的 code。

name: AI Code Guard

on: [pull_request]

jobs:
  ai-quality:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      # 1. Lint - 抓幻覺 API、過時用法
      - run: npx eslint --ext .ts,.tsx .

      # 2. SAST - 抓 security 漏洞
      - uses: github/codeql-action/init@v3
      - uses: github/codeql-action/analyze@v3
      - uses: returntocorp/semgrep-action@v1

      # 3. Dependency scan
      - uses: snyk/actions/node@master

      # 4. Build - 確認 import 對
      - run: npm run build

      # 5. Test - 確認業務邏輯
      - run: npm test

      # 6. Coverage - 強制覆蓋
      - run: npm run coverage
      - run: |
          COV=$(jq '.total.lines.pct' coverage/coverage-summary.json)
          if (( $(echo "$COV < 80" | bc -l) )); then exit 1; fi

      # 7. AI code review
      - uses: anc95/ChatGPT-CodeReview@main

✓ Build pass
✓ Lint 0 errors
✓ All tests pass
✓ Coverage > 80%
✓ Snyk 0 high/critical
✓ Semgrep 0 security finding
✓ CodeRabbit / AI review 沒 P0/P1
✓ Reviewer 至少 1 個 senior approve

這 8 個全綠才能 merge。

1. AI 寫 code 越普及、QA 越重要
2. 每篇 AI code 都假設「有幻覺 + 有 security 漏洞」
3. Coverage 不代表品質、要看 edge case 覆蓋
4. 建 CI 8 個守門關卡
5. 學會用 AI 審 AI 寫的 code

AI 寫 code 不會殺掉 QA、是讓 QA 變得更稀缺、薪資更高。從建 CI 8 個守門 + 學會用 AI 抓 AI 的 bug 開始、半年後你會變 dev team 不可缺的「品質最後防線」。

延伸：

• AI 共存的 QA 工具箱
• Self-healing Tests with LLM
• Security Testing — OWASP Top 10