Ernket/CodeScan-Artex

这是一个自建的静态代码审计平台：把一个仓库拆成可并行的审计意图，交给多个 LLM Agent 只读源码，最后产出接口清单、权限要求和带 文件:行号 的结论。它适合已经能提供 LLM API Key、又不想只看规则命中的团队，但它不是开箱即用的扫描器，需要数据库和模型接入。

解决什么问题

你想在审计仓库时得到一份对外接口清单，知道每个接口需要什么权限，并判断某个参数有没有经过校验、最终是否到达危险调用点。传统做法是跑一遍规则扫描，再逐条打开文件、顺着数据流人工核对，过程重复且容易漏。这个平台把「读完整条数据流」这一步交给 Agent 分工完成，输出接口清单、权限要求、缺陷结论和依赖可达性判断，每条结论都附带代码片段和行号；之后还会用独立会话复核，把结论以三态写回漏洞状态。

有什么不同

关键机制是只读的 Agent 工具集。平台只用 7 个本地文件工具（Read、Write、Edit、MultiEdit、LS、Glob、Grep）构造 Agent，没有 Bash、WebFetch、WebSearch 或 MCP；装配层不注入这些来源，最后还有按名字剔除的黑名单兜底。写入类工具另有一套拦截规则，对被测源码目录、工作区外路径和 URL 分别拒绝或转人工。这样做的实际好处是结论必须落在源码证据上，每次工具调用都能在探索图里回看。代价是范围很窄：不发起网络请求、不执行命令、不做运行时验证，所以它无法通过实际利用来确认漏洞，也无法审计依赖线上服务行为的系统。拦截规则是策略过滤，不等于保证被测代码不会被改动，你仍需自己保护审计对象的完整性。

谁值得试

适合：审计自己拥有或已获书面授权的代码、想要接口权限清单和数据流证据、并且能提供 LLM Key 的安全工程师或开发者。不适合：需要不接模型也能跑的扫描器，或想要通过实际利用确认漏洞的人。README 给出的部署方式只有安装脚本（全 Docker 或本地编译），依赖 PostgreSQL 和 ANTHROPIC_API_KEY 或 OPENAI_API_KEY；另有离线 mock 前端 Demo，但它用的是内置演示数据，只能看界面，不能验证分析效果。

使用条件与边界

硬性条件是 PostgreSQL 和 LLM API Key，Docker 与本地编译两条路都有文档，首次访问 /setup 设置管理员密码。更新要单独考虑：页面一键更新会重启程序并中断正在运行的任务；Docker 下只替换程序、不替换镜像里的反编译工具链，要连镜像升级得另外执行 docker compose pull。数据库迁移在重启时自动执行，但 README 明确说回滚到上一版本二进制不会回滚数据库结构。平台只做静态分析，需要执行目标或观察流量的场景不在范围内。许可证是 AGPL-3.0，若计划分发或对外提供服务需要留意。

HotRepo 点评

HotRepo 从 2026-10-24 开始记录这个仓库，2026-10-25 的新项目榜记录为 181 总星、#20；这只是快照，不是增长序列，因此还不能判断热度能否持续。投入安装时间前，建议先看项目说明，确认本地编译和 Docker 两条路中哪条匹配你能长期维护的工具链。