AI 帮你写的软件，为什么别人一打开就报毒？

5月4号那天，我给圈友们发了一个 AI 编程及 Skill 基础环境安装器。点一下开始安装，Python、Node.js、Git、TRAE 全自动搞定。

发出去之后，大部分圈友装得很顺利。但也有不少朋友遇到了同一个问题：下载之后双击，Windows 弹出一个蓝色的大框，说「Windows 已保护你的电脑」，SmartScreen 阻止了此程序运行。

还有些朋友的电脑更狠，Windows Defender 直接报毒，说这个 exe 是威胁。

我当时在群里跟大家说，点「更多信息」，然后点「仍要运行」就行了。大部分朋友照做了，顺利装上。

今天这篇日课，不是为了解释这一个安装器的问题，而是这件事背后藏着一个对 AI 编程极其重要的坑，我觉得值得认真聊一次。

你写的程序没毒，但 Windows 觉得它有毒

先说结论：我的安装器没有任何病毒，代码完全干净。

那 Windows 为什么报警？

原因就四个字：没有签名。

Windows 有一个叫 SmartScreen 的安全机制，从 Windows 8 开始就有了。它的工作原理简单说就是：你从网上下载了一个 exe 文件，Windows 会先检查这个文件有没有数字签名。如果有，它会去查这个签名的信誉分。如果你这个签名是微软认识的、信誉良好的，那文件直接放行。如果签名是新的、还没积累足够信誉，SmartScreen 仍然会弹那个蓝框，但措辞会温和一些，用户点一下就能过。

但如果你完全没有签名，就像我们这次的安装器，那就惨了。SmartScreen 不认识你，你的文件在它的数据库里没有任何记录，它只能按最坏情况处理：直接拦截，弹出警告，把用户吓个半死。

更麻烦的是 Windows Defender。它不仅检查签名，还会用行为分析和机器学习来判断文件是不是恶意软件。AI 写的 exe，打包方式、文件结构跟传统手工开发的软件会有一些差异，这些差异在 Defender 眼里就是异常。异常行为加无签名，触发报毒的概率非常高。

说到底，这不是我们的安装器有问题，也不是 Windows 过度敏感。这就是 Windows 安全体系的正常运作。

数字签名，你可以把它理解成软件的「身份证」。一张由权威机构签发的电子凭证，贴在软件身上，告诉操作系统：这个软件确实是某某公司发布的，而且从发布到现在没有任何人篡改过。