opentaint

产品配图

关于

最近我们开源了 OpenTaint，一款面向 AI 智能体设计的污点分析（SAST）引擎，想在这里做个自荐，也很想听听大家的意见。 在一次安全审计中，AI 智能体会把它学到的东西「落实」下来：把漏洞模式沉淀为污点规则，用于禁止某一类数据流路径；把代码行为沉淀为摘要，让引擎得以「看穿」那些它从未真正分析过的代码（比如外部依赖）。 引擎本身被设计成同时守住经典「三难」的三个角——扫描时间、误报、漏报——在大规模代码上跨过程、字段与别名追踪数据流路径。 关键在于：学习昂贵且不可预测，搜索廉价且确定。所以让智能体按需学习代码，让引擎在每次扫描时去搜索——安全审计因此变得精简而持续，而不必每次扫描都重新跑一遍昂贵的大模型分析。 一句话：OpenTaint 是 Semgrep Pro 与 CodeQL 的 AI-ready 开源替代品。 怎么用。 安装 agent 技能包只需一行：npx skills add AI 智能体端到端跑一遍——构建项目、扫描、为缺失的库方法建模、triage，必要时生成 PoC 验证真实漏洞；也可以直接用 CLI 扫描，或用规则 DSL 自己写规则。开源协议 Apache-2.0，可自托管、可定制。当前分析 Java 与 Kotlin 代码，Go 与 Python 在路线图上。

收录记录

1. 阮一峰周刊·用户投稿

   2026年7月22日 · 1 次收录

2. HelloGitHub·用户投稿

   2026年7月23日 · 1 次收录