课程大纲：企业级 Vibe 工程
1. 课程概要
|
|
| 认证 |
Certified Vibe Engineer（共三个级别，见第 6 节） |
| 时长 |
4 个学期 x 4 周 = 16 周完整课程（每周约 10 到 12 小时），也可单独选修模块 |
| 形式 |
概念课、AI 结对实验、红队评审、完成标准（Definition of Done）关卡 |
| 先决条件 |
至少用 AI 工具（Claude Code、Cursor、Lovable、Replit、Bolt、v0 或类似工具）上线过一个应用。不要求计算机专业学位。 |
| 参考技术栈 |
TypeScript、Next.js、Postgres（Supabase）、Redis、一个消息队列、Docker、GitHub Actions、Cloudflare 或 Vercel、OpenTelemetry。概念本身与技术栈无关。 |
2. 适合谁
- 创始人和运营者：用 AI 打造自己的产品，即将接入真金白银或真实数据。
- 产品人和分析师：正在转向动手开发。
- 初中级工程师：如今的工作更多是审查 AI 输出，而不是写代码。
- 企业团队：正在推广 AI 编程工具，需要一条共同的"上线标准"。
3. 课程学习成果
结业时，学员能够：
- 规格化：把系统描述得足够清楚，让 AI 产出正确的东西（需求规格、上下文、规则文件、验收测试）。
- 验证：对照安全性、正确性和性能标准检验 AI 写的代码，而不是听信 AI 的一面之词。
- 加固：让 Web 应用防住 OWASP Top 10:2025，让 AI agent 防住 OWASP Top 10 for Agentic Applications 2026。
- 为故障而设计：超时、重试、幂等性、消息队列、优雅降级。
- 理性扩展：知道 111 项概念里哪些现在就重要，哪些为时过早。
- 安全交付：CI/CD、数据库迁移、feature flag（功能开关）、一分钟回滚。
- 运维：SLO、告警、事故响应、postmortem（事后复盘）、经过验证的备份。
- 治理：拿出企业或监管机构要求的审计记录、数据保护和 AI 治理证据（PDPA、IMDA Model AI Governance Framework for Agentic AI、SOC 2 类控制项）。
4. 教学法：四环节模块
每个模块都跑同一个循环。
- 概念（学）： 为什么要这么做、它能防止什么故障、一起真实事故。
- 结对（建）： 学员用提供的提示词指挥 AI 实现功能。AI 是初级工程师，学员是技术负责人。
- 攻破（红队）： 学员借助检查清单和工具，攻击或压测自己的作品。大多数实验都经过刻意设计，让 AI 不加思考的输出在这里失败。
- 关卡（证）： 一份带客观证据的完成标准（测试输出、扫描报告、监控面板截图、恢复日志）。没有证据，就不算通过。
原则：对 AI 代码来说，信任，但要验证还不够。标准是先验证，再信任。
5. 课程地图
第 1 学期：基础（第 1 到 4 周）
第 2 学期：安全（第 5 到 8 周）
第 3 学期：可靠性与扩展（第 9 到 12 周）
| 周 |
模块 |
核心问题 |
海报条目 |
| 9 |
07 · 弹性设计模式 |
当某个依赖变慢或挂掉时，我的系统会怎么做？ |
10 至 13, 20, 44, 56, 57 |
| 10 |
08 · 异步、事件与实时 |
怎样处理耗时任务又不阻塞用户？ |
15 至 19, 21 至 24, 101 |
| 11 |
09 · 性能与扩展 |
瓶颈在哪里？最便宜的修法是什么？ |
2 至 5, 29 至 31, 45 至 50, 88 至 90 |
| 12 |
10 · 分布式系统的正确性 |
两件事同时发生时，会出什么问题？ |
32 至 43, 95, 96 |
第 4 学期：生产运维（第 13 到 16 周）
6. 认证级别
| 级别 |
名称 |
要求 |
代表什么 |
| L1 |
Vibe Builder |
通过第 1 和第 2 学期；应用通过 Production Readiness Checklist（上线就绪检查清单）的"现在就做"部分 |
可以放心接入真实用户和数据 |
| L2 |
Vibe Engineer |
通过第 1 到第 3 学期；应用扛过第 3 学期的混沌实验 |
可以放心收款和运行 agent |
| L3 |
Enterprise Vibe Architect |
通过所有学期 + 在评审小组面前完成结业项目答辩 |
能带领 AI 原生团队，并通过供应商安全审查 |
7. 考核与评分
| 组成部分 |
权重 |
说明 |
| 模块关卡（完成标准证据） |
40% |
每项只有通过或不通过；所有"必须"项都达标才能通过模块 |
| 红队发现记录 |
15% |
看学员在自己和同伴的作品中找到的漏洞和故障模式的质量 |
| 每周架构决策记录（ADR） |
10% |
每个模块一份 ADR，说明一个取舍 |
| 事故演练（第 15 周） |
10% |
按发现用时、沟通和 postmortem 评分 |
| 结业项目实现 + 答辩 |
25% |
见结业项目 |
一票否决条件（任何模块）：密钥被提交进 git 历史；某张数据库表可被未认证用户访问；agent 能在没有人工审批的情况下执行不可逆操作。
8. 必备工具（免费版即可）
- 一个 AI 编程 agent（Claude Code、Cursor 或同类工具），并配置好 AGENTS.md 模板
- GitHub（Actions、Dependabot、secret scanning、code scanning）
- Postgres（Supabase 或 Neon）、Redis（Upstash）、一个消息队列（Inngest、Trigger.dev、SQS 或 BullMQ）
- Docker
- k6（负载测试）、OWASP ZAP（DAST）、Semgrep（SAST）、gitleaks（密钥扫描）、Trivy（容器和 IaC）
- OpenTelemetry + 一个后端（Grafana Cloud、Honeycomb、Sentry 或 Datadog）
- Promptfoo 或同类工具，用于 LLM 评测和红队测试
9. 每周节奏（10 到 12 小时）
| 环节 |
小时 |
| 概念阅读与课程 |
2 |
| 结对实验（用 AI 开发） |
4 至 5 |
| 红队环节 |
2 |
| 关卡证据 + ADR |
1 至 2 |
| 班级互评（同伴攻击你的作品） |
1 |
10. 学术诚信（AI 时代版）
使用 AI 是必须的，不算作弊。在这里被视为违规的是未经验证的声明：交了"测试通过"却没有运行日志，说"安全"却没有扫描报告，说"已备份"却没做过恢复。