AI不再需要你逐行审查代码——它自己写规格说明，系统验证后直接运行

Datadog团队发现，真正的瓶颈不是生成，而是验证。2024年，他们手工构建了分布式队列系统Courier，耗时整整一年。团队负责人Sesh说，难点不在于构建部件，而在于让部件之间的交互变得可观察、可测试、可验证。这段经验让他们意识到：如果能让AI输出的不是代码，而是精确的规格说明，再由系统自动验证后直接运行，软件构建的节奏将彻底改变。

规格说明取代代码

2025年9月，Datadog构建了BitsEvolve，一个闭环进化优化框架：模型委员会生成代码变体，经过基准测试、测试和生产可观测性的层层筛选，决定哪些变体存活。这个系统的瓶颈恰恰是反馈循环——进化环境的优劣决定了进化的上限。

接着他们构建了Helix，一个与Apache Kafka性能相当的数据流服务。这次，Claude Code在一个人工指导下完成了大部分构建工作。“我们难以置信，几天内就有了一个功能完整的Kafka级系统，”Sesh说，“成本可能降低2到5倍。”不过，将Helix投入生产需要更多时间——运营加固是多人长期努力的结果，目前仍在逐步推出中。

支撑这种快速构建的核心是Temper，一个可验证、策略驱动的运行时环境。它的设计逆转了常见做法：代理不再直接生成应用代码，而是输出规格说明。一个内核读取规格说明，通过四层分析验证，然后部署运行系统。

每个规格说明由三个契约描述：行为契约（状态、转换、前置条件、安全属性）、数据契约（实体类型、属性、操作，以机器可解析形式发布，代理无需文档即可发现完整API）、授权契约（默认拒绝、基于范围审批，否决记录可热加载到策略引擎）。

严苛的四层验证

规格说明在加载前必须通过四层独立验证。第一层，符号推理证明每个守卫可满足、每个不变量是归纳的。第二层，穷举状态探索访问每个可达状态。第三层，确定性模拟运行实际生产代码路径，注入丢包、延迟、重排、崩溃等故障，相同种子下故障可复现。第四层，随机属性测试运行约1000个伪随机动作序列，任何违反都会缩到最小反例。

“Temper把隐式的状态机变得显式，”Sesh解释，“代理产生的是精确描述，而不是任意代码。编译步骤在LLM之外，就像你把Rust代码交给Rust编译器。转换表是数据，不是散落在服务方法中的意大利面条式控制流。代理可以在有安全保证的情况下动态修改它，热加载而不必走CI流程。”

软件工程的新范式

在Helix的暗工厂（模拟生产环境的内部测试场）中，Temper扮演三个角色：代理控制平面（会话、角色、工作队列、生命周期）、工具构建层（让代理桥接Git/CI/部署等SDLC工具）、Helix控制API（数据面的生命周期接口）。

Sesh认为，很多软件本质上就是围绕数据库API的控制逻辑：状态、状态变更策略、生命周期转换、外部系统集成。“Temper在某种意义上可以通用，适用于任何具有这种形状的软件。”每个工件应该小到人能理解——高保证软件（如航空、金融系统）几十年来一直如此构建，但人工成本太高，直到代理出现才变得可行。

团队总结的最佳实践很直接：真正该问的是，瓶颈是生成还是验证？假设是验证。代理应该输出控制逻辑的规格说明，而不是代码。把编译和证明放在LLM之外，把控制逻辑显式化为数据。每个工件如果大到人脑装不下，就回到了起点。

目前尚不清楚Temper能否应用于非控制逻辑密集型的软件，比如图形渲染或机器学习训练；验证层能否覆盖所有安全关键场景也还有待检验。但至少在Datadog的实践中，AI已经脱离了“需要人逐行审查”的阶段。