23 分钟，一个用 AI 半小时搭出来的网站就被 DDoS 打爆 — 这件事比段子更值得企业 IT 停下来看几眼。开发者用 Vibe Coding（凭直觉让 AI 写代码、自己几乎不手写）做了一个社区评分站「锐评」，为了不劝退用户打开了游客评分和评论权限。结果上线几十分钟内，两组相邻 IP 对详情页发起约 20 万次请求，刷了近 3000 次最低分；攻击者被封 IP 后换号继续，刷了 128 条乱码评论。开发者想关游客权限时，自己也进不去后台，只能直接改数据库，最后被迫关站。

这是什么

事件发生在一夜之间：20:50 发在 2Libra，21:01 发在 V2EX，21:12:53 第一次可疑请求出现（路径刚好对应 V2EX 帖子的专属链接），21:24 起进入高频攻击，单分钟接近 2000 次请求，22:05 基本结束。Vercel 的 DDoS Challenge 拦下约 16.4 万次，但仍有 5 万多次被放行。事后开发者补上了邮箱验证、Attack Mode、全站限流、单用户单目标每日操作上限，「锐评」才重新上线。

开发者自己复盘说了一句很关键的话：「生产级的产品不是 AI 几下就能做出来的。」

行业怎么看

乐观的一派会说：这恰恰证明 AI 的生产力 — 一个个人开发者半小时做出完整产品并上线，这在过去不可想象。Vibe Coding 把「从 0 到 1」的门槛砸到了地板。

但值得警惕的反面更值得听。开发者这次踩的所有坑——游客权限、关掉邮箱验证、不做接口限流、不预判攻击面——都是上线之后才会浮现的产品判断，AI 写代码写得再快，也不会替你做这些事。换句话说，AI 把 0 到 1 压缩到半小时，但 1 到「能扛生产」这一步，目前没有任何工具能跳过。

我们还注意到一个被忽略的副作用：当「AI 三分钟做出一个产品」变得人人可及，互联网上的低成本目标变多了。过去个人小站没人注意；现在这类玩具站遍地都是，每一个都是潜在的攻击入口。这次是 Vercel 在兜底，下一个没人兜底的项目，可能连日志都来不及导出。

对普通人的影响

对企业 IT：未来「员工用 AI 写的内部小工具」会越来越多，安全团队需要把它纳入资产清单，而不是默认相信内网就没事。

对个人职场：会用 AI 写代码的红利期正在结束；能识别自己写的东西哪里有窟窿、哪里会被人刷，新的溢价正在这里。

对消费市场：你会看到越来越多「小而美」工具站突然消失或出问题，未必是产品不行，多半是作者没扛过第一次真实的互联网。