deepsec

在大型软件项目中，许多安全漏洞并非显而易见，它们往往潜藏在复杂的逻辑分支、遗留代码或第三方依赖中。传统的静态应用安全测试（SAST）工具虽然快速，但常因缺乏上下文理解而产生大量误报或漏报。

deepsec 是一个由 AI 代理驱动的漏洞扫描器，专为对现有大规模仓库进行按需深度审查而设计。它利用具备最高“思考级别”的大语言模型（如 Claude Opus 或 Codex），像资深安全专家一样理解代码逻辑，发现那些长期潜伏、难以被规则引擎捕捉的高危漏洞。

核心亮点：深度、智能、可扩展

1. 代理驱动的深度推理

• 超越正则匹配：deepsec 不仅使用正则表达式快速定位候选点，更通过 AI 代理进行深度语义分析，理解业务逻辑、数据流和权限控制。
• 高阶模型优化：配置为使用最强的推理模型，确保在复杂场景下的判断准确性。虽然单次扫描成本较高（数千至数万美元），但其发现的漏洞价值远超修补成本。

2. 分布式并行执行

• 海量代码处理：针对大型单体仓库，deepsec 支持将工作负载并行分发到多台机器或 Vercel Sandbox 微虚拟机中。
• 极速扫描：通过并发处理，显著缩短大规模代码库的扫描时间，实现真正的“按需”审查。

3. 幂等性与断点续传

• 中断无忧：所有命令均为幂等设计。若任务中断，重新启动后 deepsec 会自动从中断处继续执行，无需重新扫描已完成部分。
• 状态管理：内置完善的状态跟踪机制，确保扫描过程的稳定性和可恢复性。

4. 安全的沙盒运行模型

• 隔离环境：建议在 Vercel Sandbox 中运行，限制网络出口和文件系统访问，防止潜在的提示注入攻击或恶意代码执行。
• 密钥保护：API 密钥在沙盒外部注入，避免泄露给被扫描的代码或依赖项。

快速开始：五步完成深度审计

1. 初始化项目

在你的代码仓库根目录运行：

npx deepsec init
cd .deepsec
pnpm install

这将创建 .deepsec/ 目录并安装必要依赖。

2. 配置项目上下文（关键步骤）

为了让 AI 更准确地理解你的代码，需要编写简短的项目上下文文件 INFO.md。你可以让你的编码代理（如 Claude Code）协助完成：

Prompt 示例：
“阅读 .deepsec/node_modules/deepsec/SKILL.md 了解工具用法。然后阅读 .deepsec/data/<id>/SETUP.md。浏览本仓库的 README、AGENTS.md 及代表性代码文件，编写 .deepsec/data/<id>/INFO.md。保持简短（50-100行），每部分列举3-5个典型示例，跳过通用 CWE，聚焦项目特定逻辑。”

3. 执行扫描

在 .deepsec/ 目录下运行核心流程：

pnpm deepsec scan       # 快速正则匹配，定位候选点
pnpm deepsec process    # AI 深度调查，生成发现与建议
pnpm deepsec revalidate # (可选) 重新验证，降低误报率

4. 导出结果

pnpm deepsec export --format md-dir --out ./findings

生成 Markdown 或 JSON 格式的详细报告。

5. （可选）分布式加速

对于超大仓库，使用 Vercel Sandbox 并行处理：

pnpm deepsec sandbox process --project-id my-app --sandboxes 10 --concurrency 4

工作流命令参考

成本与提供商配置

• 本地开发：默认尝试使用本地的 Claude 或 Codex 订阅。
• 生产/大规模使用：推荐通过 Vercel AI Gateway 管理 API 调用，以获取高并发配额和统一计费。

  export AI_GATEWAY_API_KEY=vck_...
  

• 直接调用：也可显式设置 ANTHROPIC_AUTH_TOKEN 等环境变量绕过网关。

为什么选择 deepsec？

• 精准度高：AI 理解上下文，大幅减少误报，发现逻辑漏洞。
• 覆盖全面：适用于任何语言的大型仓库，不受特定框架限制。
• 灵活部署：支持本地、云端沙盒等多种运行环境。
• 持续集成友好：幂等设计和模块化命令使其易于嵌入 CI/CD 流水线。