开发者将AI代码安全扫描工具Sentrint挂牌出售，起拍价5102美元

Sentrint 会扫描你用它所支持的 16 款 AI 编程工具之一构建的应用背后的 GitHub 仓库。它检查代码中是否存在硬编码密钥、数据库访问规则、存在漏洞的依赖以及有风险的代码路径。随后由 AI 复审针对数量有上限的发现项对照你的代码重新核查，以减少误报。你会得到一个百分制评分、每条发现的通俗英文说明，以及一段为构建该应用的工具编写的修复提示词。应用修复后再次扫描，即可看到变化。它只读取代码：不会运行你的应用，也不会测试线上站点。

AI 编写的代码可以通过所有测试，却仍然泄露密钥、让你的数据库门户大开，或跳过登录校验。Sentrint 会在别人之前发现它们，并附上修复方案。

或者先看在线演示 同一个仓库，修复前后的对比。 带声音观看 有问题？问 Gourab 运行于 Google Cloud Google for Startups Cloud Program 一次性实例 已删除你的克隆 只读仓库访问 阅读我们的承诺 修复提示词专为以下工具编写 Cursor Cursor Windsurf Windsurf GitHub Copilot GitHub Copilot Cline Cline Replit Replit Claude Code Claude Code Lovable Lovable Bolt Bolt v0 v0 Base44 Base44 DeepSeek DeepSeek Claude Claude 名称和标识归其各自所有者所有。Sentrint 与它们无关联。

AI 编程工具写出能跑的代码。Sentrint 读取它暴露了什么：泄露的密钥、开放的数据库规则、未设防的路由，以及每一项的修复方法。

在 1,072 个用 AI 编程工具构建、后端为 Supabase 的应用中，有安全问题的比例。26 个没有问题。 11% 在 20,052 个独立开发者发布链接中，有在前端代码里暴露 Supabase 凭据的比例。anon key 本来就是公开的。service_role key 则永远不该公开。 150 万 Moltbook 这个 vibe-coded 应用在上线数天后泄露的 API token 数量和 3.5 万个邮箱地址。它的 Supabase 表没有配置 RLS 策略。

用户怎么说 Sentrint 帮我发现了我为自己构建的一个 vibe coded 个人 agent 中的若干关键安全漏洞。这个 agent 的漏洞有可能泄露大量私密和敏感数据，这些问题很快得到了解决。我很高兴发现了这个产品！！ 4.7 / 5 N Naman Google 软件工程师 我是个非技术人员，正在做一个有潜力成为好产品的项目。我对网络安全几乎一无所知，也没有资金请专业人士。我曾误以为 Claude 能替我搞定这些事。一次代价高昂的错误让我明白了。显然，我必须先知道要修哪些问题，然后指示 AI 去修。这正是 Sentrint 成为我首选的原因。它在产品里内置了大量规则，可以替我检查这些问题。我很满意，我会把 Sentrint 推荐给所有刚接触产品构建的非技术人士。 4.5 / 5 已验证的 Sentrint 用户 已验证 UX 专家 容易发现代码漏洞，找出代码欠缺之处以及需要进一步改进的地方。 4.5 / 5 已验证的 Sentrint 用户 已验证 数据科学家

一次扫描给你什么 01 · 风险 在一项针对 400 个代码样本的对照研究中，经过五轮 AI 修改后，关键漏洞更多。Shukla 等，2025 再次扫描，它会告诉你修好了什么、新增了什么。 发现项 · 所有仓库，一个列表 02 · 全部发现 在受测的 AI 代码生成任务中，生成了带有已知漏洞的代码的比例。Veracode，2026 每一行都会说明 AI 复审的判定：已确认、不明确或误报。 全部发现 · 代码，最严重的在前 03 · 发现详情 在研究人员再次测试时仍然有效的公开泄露 AWS 密钥比例。Truffle Security，2026 泄露的密钥经过实测，所以你知道该先轮换哪一个。 发现详情 · 对一个公开练习仓库的真实扫描 04 · 攻击路径 利用面向公众的应用程序。每一步都标注对应的 MITRE ATT&CK 技术。 它展示的是可能的路径，而非这一条可被利用的证明。 攻击路径 · 映射到 MITRE ATT&CK 05 · 修复提示词 针对每款 AI 编程工具，各配一段为其措辞的提示词。 按当前可被利用的程度排序，并要求不改动其他任何东西。 修复提示词 · 复制、粘贴、重新扫描 06 · 代码地图 在对一个公开练习仓库的真实扫描中，把文件绘制成一张图，按风险确定大小。 文件按它们对你评分的拖累程度排序。 代码地图 · 对一个公开练习仓库的真实扫描 07 · 审计日志 登录、扫描、状态变更和 API 密钥的记录，留存且可搜索。 每个视图都可下载为 CSV 或 JSON，下载本身也会被记录。 审计日志 · 筛选为扫描事件 08 · 徽章 是徽章唯一显示的等级。C 以下显示为未评级。 每次 README 加载时都会读取实时等级。 你的 agent 可以调用的工具：发起扫描、检查扫描、读取发现项、获取修复提示词、列出过去的扫描。 发现项会附带文件和行号返回，因此 agent 可以就地修复。 MCP · 在一个公开练习仓库上的真实编程 agent 会话

对你的代码三轮处理，只有第一轮做判定 01 无 AI 由引擎发现 固定规则，作用于你的代码和锁文件 规则要么匹配，要么不匹配 这里没有任何东西能被说服而产生一条发现 02 AI 第二遍读取削减噪音 对每一条关键和高危发现再读一遍 不能凭空捏造，也不能把你的报告里的发现删掉 决定哪些进入修复提示词，并说明它拦下了多少条 03 AI 写出修复方案 一段提示词，最严重的排在最前 为构建你应用的那款工具而写 自带边界：改这些行，保留所有签名 运行在哪里 三轮处理全部在一个一次性 Google Cloud Run 作业中完成，该作业为你的扫描而创建，结束后即销毁。 印度的数据保护法，也是我们遵循的那一部。可撤回的同意、违规通报时限，以及一位承担责任的指定官员。 无论你身在何处，你的访问、更正和删除权利都得到保障。我们不宣称任何认证，也没有欧盟代表，只提供实质内容。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）