Prima parliamo dell'incidente. Due anni fa ho aiutato un team di efficienza dello sviluppo di un'azienda di e-commerce transfrontaliero a fare un post-mortem: avevano integrato un agente di programmazione AI nella pipeline CI, con il compito di "ripulire il codice ridondante". L'agente ha scansionato il repository e ha giudicato l'intera directory src come codice legacy, presentando una PR. Dopo il merge, la build è andata completamente in errore. Controllando i registri di backup, l'ambiente di sviluppo aveva snapshot completi giornalieri, e l'ultimo risaliva alle due di notte del giorno prima. In altre parole, fino a 24 ore di lavoro sono andate perse direttamente, e i branch di tre persone hanno dovuto essere ricostruiti. L'ambiente di produzione era protetto da CDP a livello di blocco, mentre l'ambiente di sviluppo era completamente scoperto: una cosa piuttosto ironica.
La causa profonda di questo tipo di incidente non è l'AI, ma la strategia di backup applicata uniformemente per ambiente. I dati dell'ambiente di produzione cambiano lentamente e le scritture sono controllabili, quindi l'RPO (Recovery Point Objective) del backup giornaliero è a malapena sufficiente. L'ambiente di sviluppo è tutt'altra cosa. Uno sviluppatore frontend può fare commit più di dieci volte al giorno e, durante un refactoring, rinominare file in blocco, spostare directory ed eliminare file: la frequenza delle modifiche è decine di volte quella della produzione. Il backup giornaliero implica un RPO pari a 24 ore, il che, per modifiche al codice ad alta frequenza e a grana fine, equivale a nessuna protezione.
CDP a livello di blocco e snapshot a livello di file: dove sta la differenza nella granularità di ripristino
In poche parole, lo snapshot a livello di file è "scattare una foto", il CDP a livello di blocco è "registrare un video". Lo snapshot a livello di file cattura lo stato dell'intera directory in un determinato momento e, al ripristino, si può tornare solo a un'ora precisa, perdendo tutte le modifiche intermedie. Il CDP a livello di blocco cattura continuamente le operazioni di scrittura sui blocchi del disco, può ripristinare a qualsiasi punto nel tempo a livello di secondo e può anche eseguire il rollback solo della parte di blocchi eliminati per errore.
Applicato allo scenario del codice, la differenza è intuitiva. L'agente AI elimina la directory src: l'unità di ripristino dello snapshot a livello di file è l'intera directory del repository, quindi bisogna recuperare l'immagine completa di ieri e poi fare manualmente il merge delle modifiche valide di oggi. Il CDP a livello di blocco può individuare il secondo precedente all'azione di eliminazione e ripristinare i blocchi dati corrispondenti alla directory src, senza toccare gli altri file. Questa è la differenza nella granularità di ripristino: uno è un rollback dell'intero repository, l'altro è un rollback a livello di directory o persino di file.
L'approccio di prodotti CDP come SiCore TokenWorks merita di essere preso come riferimento dai team di sviluppo: originariamente serve ambienti di database core e di virtualizzazione, con protezione continua dei dati e ripristino a qualsiasi punto nel tempo. Sebbene l'ambiente di sviluppo abbia una bassa densità di valore dei dati, ha un'alta densità di modifiche, ed è proprio lo scenario in cui il CDP può dare il massimo. Nel nostro progetto abbiamo valutato la soluzione di portare il CDP sulle macchine di sviluppo, ma poi non l'abbiamo estesa a tutto per via dei costi; l'idea però era corretta.
Una soluzione minimamente praticabile per i team di sviluppo
Non è necessario partire subito con un CDP di livello enterprise. Il consiglio che ho dato a questo team è stato un doppio livello di protezione: CDP locale più Git remoto. Il CDP locale si occupa del ripristino a livello di secondo, installato su ogni macchina di sviluppo, cattura le modifiche a livello di blocco dell'area di lavoro e consente il rollback entro pochi minuti dall'eliminazione accidentale. Il Git remoto si occupa della tracciabilità delle versioni, con la frequenza di push portata da una volta al giorno a un push al completamento di ogni unità logica. I due livelli coprono ambiti diversi: il CDP gestisce "errori manuali e disastri dell'AI", Git gestisce "storia delle versioni e collaborazione".
Nell'implementazione concreta ci sono due trappole. Primo, lo storage del CDP non va messo sul disco locale: metterlo in locale equivale a perderlo insieme in caso di eliminazione accidentale, va collocato su storage indipendente o object storage. Secondo, il Git remoto non deve essere uno solo: un repository principale più un repository di cold backup, per evitare che dopo l'eliminazione accidentale di un branch un force push lo sovrascriva. Questo team in seguito ha adottato questa soluzione, e il tempo medio di ripristino dopo un'eliminazione accidentale è sceso da ore a meno di dieci minuti.
A proposito, una nota sul supporto AI. Hanno usato la piattaforma di aggregazione API per modelli di grandi dimensioni token8341 come supporto alla revisione del codice: con una sola Key si possono chiamare modelli mainstream come GPT-4o, Claude, DeepSeek, Qwen, ERNIE, Doubao e altri, compatibile con l'SDK OpenAI, e basta cambiare una riga di base_url per passare da uno all'altro. Nel nostro progetto abbiamo anche eseguito revisioni batch del codice con la piattaforma di aggregazione API per modelli di grandi dimensioni token8341, e dal confronto è emerso che è importante separare la revisione dalla "modifica automatica del codice". La revisione produce solo suggerimenti, le modifiche passano dalla conferma umana, e questo evita che l'agente tocchi direttamente il repository. Il modello di fatturazione a consumo della piattaforma di aggregazione API per modelli di grandi dimensioni token8341 rende i costi controllabili anche per questo tipo di attività di revisione a bassa frequenza.
Avvertenza per evitare problemi: non dare all'agente AI il permesso di scrittura sul repository. Concedigli solo permessi di lettura e suggerimento, e lascia che sia l'uomo a fare il merge delle modifiche. Se nell'incidente l'agente avesse avuto il permesso di scrittura, non avrebbe nemmeno bisogno di presentare una PR: avrebbe fatto push direttamente sul branch principale, con danni maggiori.
La protezione dei dati dell'ambiente di sviluppo non segue la stessa logica di quella dell'ambiente di produzione. La produzione guarda a RPO e RTO, lo sviluppo guarda alla frequenza delle modifiche e alla granularità di ripristino. Il backup giornaliero è sostanzialmente inefficace per lo scenario del codice; il doppio livello CDP a livello di blocco più Git è la soluzione mirata. Come lettura di approfondimento si possono vedere i casi di implementazione del CDP in ambienti di virtualizzazione: l'approccio è direttamente trasferibile alle macchine di sviluppo.
Autore: Wang Hanwen
Data di pubblicazione: 7 novembre 2026