深度安全

deepsec deepsec 是一种由代理驱动的漏洞扫描器，您可以在自己的基础设施中运行，并经过优化以对现有大型存储库中的所有代码执行按需审查。 deepsec 旨在发现长期潜伏在应用程序中的难以发现的问题。它被配置为在最大思维水平上使用最佳模型（可通过 --thinking-level 进行调整，请参阅 docs/models.md ），这意味着对于大型代码库来说，扫描可能会花费数千甚至数万美元。我们的客户发现，他们能够如此快速地修复原本无法修复的漏洞，因此所付出的成本是值得的。对于大型代码库，工作在工作机器上并行地展开。如果运行被中断或中途出错，只需重新运行相同的命令 - deepsec 会从中断处继续，跳过已分析的文件，只调查其余文件。开始导航到要扫描的存储库的根目录，然后： npx deepsec init # 创建 .deepsec/ 并以此存储库作为第一个项目 cd .deepsec pnpm install # installs deepsec from npm # 按照 `init` 输出的指示继续操作 现在让您的编码代理引导您的安装。打开选择的代理并提示：阅读 .deepsec/node_modules/deepsec/SKILL.md 以了解该工具。然后阅读 .deepsec/data//SETUP.md 并遵循它：浏览此存储库的 README、任何 AGENTS.md/CLAUDE.md 和一些代表性代码文件，然后替换 .deepsec/data//INFO.md 的每个部分。保持简短——目标总共 50-100 行。每个部分选取 3-5 个示例，而不是详尽列举。命名原语（身份验证助手、中间件），但没有行号。跳过通用 CWE 类别 - 内置匹配器涵盖了这些类别。仅涵盖特定于项目的内容。 INFO.md 被注入到每个扫描批次中；冗长的上下文会削弱信号。然后从内部扫描 .deepsec/ ： pnpm deepsec scan pnpm deepsec process pnpm deepsec revalidate # 可选，降低 FP 率 pnpm deepsec export --format md-dir --out ./findings 如果您觉得 deepsec 应该查看代码的更多部分，请为其提供编写匹配器文档，以在代码库中找到更有价值的起点。文档 docs/getting-started.md — 首次扫描演练 docs/reviewing-changes.md — process --diff 用于 PR 审查和 CI 门控 docs/supported-tech.md — 框架和生态系统 deepsec 开箱即用 docs/writing-matchers.md — 提示您的编码代理增加匹配器集 docs/configuration.md — deepsec.config.ts 参考 docs/plugins.md — 插件创作 docs/models.md — 模型选择、默认值、拒绝、未来模型 docs/vercel-setup.md — AI Gateway + Vercel 沙箱密钥/令牌 docs/architecture.md — 管道内部 docs/data-layout.md — 数据/模式（FileRecord、RunMeta，...） docs/faq.md — 成本、模型选择、沙箱模式、FP 速率样本/ — 复制粘贴起点（当前： webapp/ ） CONTRIBUTING.md — 存储库布局、开发工作流程 AI 提供程序 在本地运行时，如果您已登录本机，deepsec 将回退到您现有的 claude / codex 订阅。订阅（Claude Pro/Max、ChatGPT Plus）对于评估 deepsec 很有用，但通常没有足够的空间来进行完整的回购扫描。对于真实扫描，请使用 Vercel AI Gateway。一把钥匙涵盖了 Claude 和 Codex，网关的默认配额大小适合高度并发的研究。 AI_GATEWAY_API_KEY=vck_... 请参阅 docs/vercel-setup.md 以获取密钥和 Vercel 沙箱设置。要绕过网关，请显式设置 ANTHROPIC_AUTH_TOKEN + ANTHROPIC_BASE_URL（或 OpenAI 对）。显式值始终胜过 AI_GATEWAY_API_KEY 扩展。如果由于上游凭证用完配额或积分而导致进程或重新验证运行停止，deepsec 会正常停止并告诉您在哪里充值。之后重新运行相同的命令，它会从上次中断的地方继续执行。分布式执行（可选） 大型 monorepos 可以跨 Vercel Sandbox microVM 进行工作： pnpm deepsec sandbox process --project-id my-app --sandboxes 10 --concurrency 4 需要 Vercel 帐户。本地工作树已压缩并上传； .git 被排除在外。支持 OIDC 令牌（本地）和访问令牌 (CI) — 请参阅 docs/vercel-setup.md 。 deepsec 本身的安全模型 将 deepsec 视为编码代理，在其运行的环境上具有完全的 shell 访问权限。它被设计为在可信输入（您的源代码）上运行，但您可能仍然担心由于外部依赖项或供应商代码而导致的提示注入。在沙箱上运行（见上文）确实大大限制了潜在的暴露： 编码代理的 API 密钥被注入沙箱外部，因此无法被泄露 对于工作沙箱，来自沙箱的网络出口仅限于编码代理主机（在引导过程中允许出口，但这不会运行编码代理） 工作流程参考 命令 扫描内容 使用正则表达式匹配器（快速，无 AI）查找候选站点 流程 AI