让AI做你的安全预审，警惕程序员远程面试诈骗

近期，一种专攻程序员的“远程面试诈骗”浮出水面：骗子伪造知名公司身份，发送一份看似专业的coding test “测试题”，提供一段项目代码。一旦你出于专业习惯，在本地运行 npm install 并启动“测评代码”，一段精心伪装的恶意脚本便可能窃取你的浏览器密码、SSH密钥乃至清空加密钱包。从各大论坛看，已经有不少人中招。 当传统的杀毒软件无法识别这种定制化攻击时，那么，技术人该如何保护自己？一个简单而有效的方法是：在运行任何陌生代码前，先把它交给AI进行安全预审。让AI充当你的安全副驾驶，用算法识别逻辑陷阱，将潜在风险拦截在终端之外。

首先是思想上将“不信任”作为默认准则，可以最大程度地保护自己。

• coding test 如果需要使用他们的 test project, 大概率有问题
• 除非你100%确定对方可信，否则绝对不要执行 npm install、npm start 或任何项目文档里“建议”运行的命令
• 如果你确实需要分析代码行为，请在一个没有网络连接的虚拟机或临时的Docker容器中进行

然后是利用AI进行安全预审

1. 准备代码：将从对方处收到的整个项目文件夹准备好，无需运行任何命令。如果项目很大，可以优先分析关键的配置文件（如 package.json）和主要的代码入口文件。
2. 选择工具：你可以使用任何主流的AI代码助手，如 Cursor AI Agent、Claude Code 或通用的 ChatGPT/DeepSeek 等。
3. 提出关键指令：这是最重要的一步。请不要只是问“这段代码是安全的吗？”，而是提出一个具体、带有安全倾向的指令，引导AI进行深度分析。例如：远程代码执行(RCE)、从外部URL拉取并执行脚本、使用eval或new Function、隐藏的加密币钱包窃取逻辑、后门或权限维持代码。请详细说明任何发现的恶意模式。还比如“请仔细审查这段代码。告诉我它是否存在下列可疑行为：1）试图读取或上传我本地的文件（如SSH密钥、浏览器数据）；2）包含混淆或编码过的难以理解的字符串；3）试图与任何外部IP或域名通信。请给出明确的是/否结论，并解释原因。”

最后，技术的较量本就是道高一尺魔高一丈。AI也有力所不能及的地方，大家也要多多分享各种面试经验和面试陷阱，赠人玫瑰手有余香，要靠无数无私的技术人员一起打造效率而安全的环境，你我一起加油。