01原理
预防和治疗处理的是同一个问题，区别只在时间点。问题刚出现时，它小、便宜、范围清楚：一根没盖好的炭火、一个没设密码的端口、一条只在少数情况下出错的提示词。拖下去，它会和别的东西缠在一起，牵连客户、数据、声誉和团队精力，处理成本不再是线性增长。富兰克林说一盎司对一磅，是十六倍；巴菲特转述芒格时说成一吨，是两千倍。数字本身是修辞，但方向是对的：越晚处理，代价的增长越快。
这个模型里有两个不同的动作。一个是事前预防：在任何事故发生之前，就把已知的失败方式堵上，比如防火规矩、数据库鉴权、发布前的检查。另一个是早期处理：问题已经露头，但还小，马上去解决，而不是等它“再观察一下”。巴菲特在 2018 年说芒格推动他的，主要是后一种，“问题一露头就去处理”。小公司两种都需要，但第二种更常被拖延，因为露头的问题通常还不疼。
对 10 人以内的团队，这个模型更要紧。大公司可以靠资源扛过一次大事故，小团队往往扛不过：一次数据泄露、一次被刷爆的账单、一个丢掉的大客户，就可能把一年的跑道吃掉。预防的成本对小团队来说也是真的，它占用的是最稀缺的工程时间，所以要预防的不是所有问题，而是那些一旦发生就难以收拾的问题。
为什么成立
为什么预防便宜却总被忽视？第一，代价不对称在时间上错开：预防的成本今天就要付，而且看得见；治疗的成本发生在未来，而且只是一种可能。人天然低估“可能发生”的东西，尤其是从没发生过的东西。第二，预防成功时什么都不会发生，没人会因为“今天没着火”被表扬，所以组织里的激励偏向救火的人。第三，问题在小的时候常常带着模糊性，看起来像正常波动，处理它需要承认“这里有问题”，而人有回避坏消息的倾向。芒格让巴菲特“问题一露头就处理”，对抗的正是后两种心理。
从数学上看，很多问题的损失是随时间或规模放大的：泄露的数据会被复制，坏习惯会在团队里传开，技术债会被后来的代码依赖。这类问题越早切断，切断的成本越接近它最初的大小。反过来，也有一些问题不会长大，甚至会自己消失，对这类问题花大力气预防就是浪费。判断的关键，是看一个问题会不会自我放大、发生后能不能回滚。
02芒格怎么说
“一盎司预防抵得上一磅治疗”是本杰明·富兰克林 1735 年在《宾夕法尼亚公报》上写的话，芒格没有专门讲过这个模型，我们也没在他本人的演讲稿里找到这句话。能查到的出处是 2018 年伯克希尔股东会：据《财富》的报道，巴菲特把这句话当作芒格的说法转述出来，并把它加重成“抵得上一吨治疗”，说芒格一辈子都在推他，让他在问题一露头时就去处理。它和芒格反复讲的几件事是一回事：先想清楚会怎么失败、然后别去那里（逆向思考），坏消息要马上说，以及从别人的灾难里学习。
Charlie says an ounce a prevention isn't worth a pound of cure, it's worth a ton of cure
查理说，一盎司预防抵的不是一磅治疗，而是一吨治疗。
I wish I knew where I was going to die, and then I'd never go there.
要是我知道自己会死在哪儿就好了，那我就永远不去那个地方。
03怎么用
- 01
把“不可回滚”的地方先列出来
预防的预算有限，先花在发生后无法撤回的事情上：生产数据和备份、用户隐私数据、对外的计费和扣款、密钥和权限、对客户的公开承诺。每一项写下“如果出事，最坏是什么”和“现在挡在前面的是什么”。挡在前面的如果只有“大家都很小心”，这一项就是本周要补的。
- 02
给“露头的问题”设一个处理时限
约定一条规则：任何人发现异常（一个奇怪的报错、一个客户的抱怨、一笔对不上的账单），48 小时内必须有人确认它是噪音还是问题，并写一句结论。重点不是马上修好，而是不让它停在“再看看”。这对应巴菲特说芒格推他的那件事：问题一露头就去处理。
- 03
上线新能力前，先做最便宜的那层防护
接入新的模型供应商、开放一个新的 API、给智能体新的工具权限时，先做成本最低的防护：花费上限和告警、只读权限、速率限制、对外接口的鉴权。这些通常是几小时的工作，却能把最坏情况从“无上限”变成“有上限”。复杂的防护可以后补，最便宜的那层不要省。
- 04
让预防的人被看见
预防成功的结果是“什么都没发生”，所以要主动记录。周会上专门留一项：这周堵上了哪些潜在问题、如果没堵会怎样。创始人要明确表扬“提前发现”而不只是“通宵救火”，否则团队会慢慢学会等问题变大再出手，因为那样才有人看见。
04案例
富兰克林的防火信：从一句俗话到一支消防队
1735 年 2 月 4 日，富兰克林在自己办的《宾夕法尼亚公报》上，以一位老市民的名义发表了《论城镇防火》。他写到，人们端着炭火在屋里走来走去时要小心，因为一盎司预防抵得上一磅治疗。这封信不只是讲道理：它提议了具体做法，后来推动费城成立了志愿消防组织。1736 年 12 月 7 日，三十个人在富兰克林的推动下成立了联合消防队，成员要备好皮水桶、结实的袋子和篮子，每次火警都要带上，每月开会讨论怎么防火和救火。这句话是不是富兰克林原创，有不同看法：1735 年的印刷版里它用了斜体，1750 年他写给塞缪尔·约翰逊的信里又称之为“一句老话”，所以它可能当时已是俗语。可以确定的是，他把一句俗话变成了一套事前就位的制度：水桶在着火前就放在每户家里。[3][4][5]
塞麦尔维斯的含氯溶液洗手：最便宜的预防，最难被接受
维也纳总医院第一产科病房在 1846 年的产妇死亡与入院之比是 13.69%。从 1847 年 5 月中旬起，助理医师塞麦尔维斯在病房推行含氯溶液洗手。从 1847 年 6 月到 1849 年 3 月的 22 个月里，第一产科共收治 6495 人、死于产褥热 142 人，累计比例约 2.19%。洗手几乎不花钱，效果是数量级的。但这个预防措施没有让他得到认可：1849 年 3 月他被撤下第一产科助理的职位，1850 年 5 月他的讲座反响不好，同年 10 月离开维也纳；直到 1860 年，同行要么拒绝他的核心主张，要么没理解。研究者也发现，他离开后病房的死亡率并没有回到原先的高位，说明洗手的做法很可能延续了下来。这个案例说明两件事：预防的回报可以极高；而要求别人为“还没看到的危险”改变习惯，阻力也极大。[6]
DeepSeek 的公开数据库：一层鉴权的缺位（非小团队案例）
2025 年 1 月 29 日，云安全公司 Wiz 的研究员 Gal Nagli 发文披露，DeepSeek 有一个可以从公网访问的 ClickHouse 数据库，挂在 oauth2callback.deepseek.com 和 dev.deepseek.com 的 9000 与 8123 端口上，完全开放、不需要鉴权。里面有超过一百万行日志，包括聊天记录、密钥和后端细节。Wiz 立即通知了 DeepSeek，DeepSeek 很快关闭了暴露。Wiz 在文中的判断是：人们担心的常是遥远的 AI 风险，真正的危险往往来自基础风险，比如数据库意外暴露在外网。DeepSeek 不是十人小团队，但这个错误小团队一样会犯：给一个内部数据库加鉴权、关掉公网端口，按编者估计是一两个小时的事；一旦被别人先找到，就成了媒体上的数据泄露事件。预防的成本和治疗的成本，差的不止十六倍。[7]
6 人团队的 API 密钥，和一个没设上限的账户
一个 6 人团队做 AI 写作工具，为了赶演示，把模型供应商的 API 密钥写进了前端代码，账户也没设月度花费上限。有人提醒过一次，团队说“上线后再改”。假设某个周末，密钥被人从浏览器里抓走拿去刷量，周一早上账户里多出一笔相当于两个月收入的账单。治疗的成本包括：和供应商申诉、轮换所有密钥、排查有没有别的泄露、向用户解释服务中断。预防的成本是：把调用挪到后端，加一个花费上限和告警，大概一个下午。这个情景里的关键时刻，不是密钥被盗的周末，而是有人第一次提醒的那天：那是问题刚露头、处理最便宜的时候。
05误用与边界
什么都想预防，结果什么都做不成
预防也要花钱和时间。对一个还在找产品方向的团队，给每个功能都配齐监控、权限审计和灾备，可能比任何事故都更快地耗光跑道。只对两类问题重点预防：会自我放大的，和发生后无法回滚的。其余的，接受“出了再修”。
把“小题大做”当成预防
问题露头就处理，不等于每个异常都拉全员开会。很多信号确实是噪音。正确的做法是快速确认、写下结论、该关就关，而不是把团队拖进无休止的排查。早期处理的目标是便宜地得出判断，不是制造紧张。
只预防上一次的事故
出过一次事，团队会在同一个地方加三层防护，而真正的下一个风险在别处。预防要从“哪里会让我们彻底完蛋”出发去推，而不是只从“上次哪里出了事”出发。
06检查清单
下次做相关决策前逐条过一遍。勾选只保存在你的浏览器里。
08来源
- 1
- 2
- 3
- 4
- 5
- 6
- 7