AI 写的代码，需要专门的安全审查吗？

最近一个朋友用 Copilot 生成的 SQL 查询直接上了生产，结果被注入攻击。这让我想到，AI 生成的代码功能上往往“看起来没问题”，但对安全上下文、边缘情况和合规要求的理解几乎为零。我们现有的代码审查流程大多假设作者有安全意识，但 AI 不是人，它不会主动考虑输入校验或权限控制。那么，是否应该对 AI 生成的代码引入专门的安全审计环节？这种审计该由谁来做——是人工审查，还是靠另一个 AI 做安全扫描？