开发者发布 SecureVibe，用 Tree-sitter 和 AST 追踪代码漏洞

大家好，HN 的朋友们，想分享一下我过去几个月一直在做的项目。我注意到一个问题：现在我们发布代码的速度，比给项目搭好所需基础设施的速度还快。

于是我想做 secureVibe，帮你在代码库里找漏洞。目前有一个 MVP，它不只是扫描代码然后给出一些随意的分析结果，而是用 Tree-sitter 和 AST 来理解代码上下文，以此验证发现的漏洞——它会构建一张包含应用路由、处理函数和数据库调用的图，从而帮助判断发现的问题是被确认的还是只是可能的。简单说下功能：

1- 展示代码里所有漏洞，并附带代码片段 2- 带 AI 修复选项（目前可选，需自备 API key） 3- 图查询功能，你可以问攻击者可能从哪里攻击我的网站，或者认证方面的问题（我以 graphify 作为它的基础） 4- 你可以在仪表盘里按漏洞类别筛选（比如 CWE、数据库注入等），还能把它下载成一份简单的交互式 HTML 报告，方便你之后自己修复。

很想听听大家的想法和反馈，好继续开发下去。我遇到的一些问题比如用于验证安全规则的基准测试。做了一些研究后，我找到了 OpenSSF benchmark。

在 OpenSSF CVE benchmark 上，原始 F1 分数是 77.5，但我仍然面临一些误报的问题，所以非常希望能得到反馈，以便继续推进后续阶段的开发。

尽管有这些问题，它目前运行得还不错，高效且快速，最好先从 TypeScript 仓库开始用。