YOHO AI

标签： CI/CD

Codex Security：OpenAI 开源的 AI 代码安全审计工具（CLI + SDK）
代码安全审计，正在从传统 SAST 工具的”正则匹配”走向 Agent 式的”语义理解”。OpenAI 刚开源的 Codex Security，就是这一方向的代表作——它把”发现、验证、修复漏洞”三件事，打包成一个 CLI 与 TypeScript SDK，让 AI 真正读懂你的代码。

📌 项目简介

Codex Security 是 OpenAI 推出的 AI 安全审计工具（CLI + TypeScript SDK），能在你的代码库中发现、验证并修复安全漏洞，把代码安全从”工具扫描”升级为”智能体审计”。

💻 安装要求与过程

环境要求
- Node.js 22.13.0+（22.x 发布线）、24.x 或 26.x
- Python 3.10 及以上
- 可用的 Codex Security 访问权限（ChatGPT 登录或 API Key；部分安全请求需通过 Trusted Access for Cyber 审批）
- npm 环境（用于安装与运行）
快速安装
```
# 1. 安装（本地或全局）
npm install @openai/codex-security

# 2. 登录 OpenAI / ChatGPT 账号
npx @openai/codex-security login

# 3. 扫描当前目录
npx @openai/codex-security scan .

# 4. 高精度深度扫描
npx @openai/codex-security scan . --model gpt-5.6-terra --effort high
```
在 CI 中无需登录，直接注入环境变量即可：OPENAI_API_KEY 或 CODEX_API_KEY，密钥仅用于本次扫描，不会写入凭证目录。

✨ 核心功能
1. 发现 · 验证 · 修复三合一：不止于”扫出告警”，更能跨文件理解语义、定位漏洞根因，并给出可直接落地的修复建议。
2. CLI + TypeScript SDK 双形态：命令行随手扫描，SDK 可嵌入自有平台、工单系统与安全中台，安全能力随取随用。
3. 深度扫描 / 多智能体并行：--mode deep 下多 worker、subagent 并行深挖调用链，复杂漏洞也不放过。
4. 多推理提供商自由切换：OpenAI / OpenRouter / Fireworks / Amazon Bedrock，模型与厂商不再被锁定。
5. 扫描对比 scans compare：按根因智能匹配历次结果，清晰追踪”已解决 / 新增 / 复现 / 未知”的漏洞。
🎯 典型使用场景
- 开发者本地自检：提交前跑一句 npx @openai/codex-security scan .，把高危漏洞挡在合入之前，比事后救火省心得多。
- CI/CD 安全门禁：在流水线中用环境变量注入 API Key 自动扫描，配合 --auth api-key 做非交互式审计，高危漏洞直接阻断合入。
- 安全团队批量审计：用官方镜像 + Docker Compose 对多个仓库（锁定到不可变 Git revision）做可断点续扫，再用 scans compare 跟踪修复效果。
💡 推荐理由

我用过不少 SAST 工具，最大的痛点是”告警一堆、误报一堆、修复靠自己”。Codex Security 的聪明之处在于它把漏洞审计做成了Agent 式工作流：能理解业务语义、跨文件追踪根因、直接给修复方案，SDK 形态又方便嵌进自己的平台。多提供商支持则避免了被单一模型绑定——对注重供应链安全与自主可控的团队尤其友好。

📥 下载地址
- GitHub 仓库：github.com/openai/codex-security
- npm 包：@openai/codex-security
- 官方文档：Codex Security CLI 文档
- 安全权限申请：Trusted Access for Cyber
本文数据来自 GitHub 公开 API（统计于 2026-08-06）。
2026年8月6日
Open Code Review：阿里巴巴开源的 AI 代码评审 CLI，Token 只用 1/9 却更精准
如果你用过 Claude Code 之类的通用 Agent 做代码评审，大概率遇到过这些坑：改动一多就”偷工减料”只看部分文件、报出来的问题行号对不上、换个提示词质量就飘。Open Code Review（OCR） 是阿里巴巴刚开源的一款 AI 代码评审命令行工具，它把”确定性工程”和”Agent 动态决策”拧在一起，专门解决这些问题。项目上线不久便冲上 GitHub Trending，目前已收获约 12.2K Stars。

Open Code Review 功能亮点（图片来源：项目 README）

一句话简介

Open Code Review 是阿里巴巴开源的 AI 代码评审 CLI 工具——读取 Git diff，交给可配置的大模型 Agent 进行带工具调用的深度评审，产出行级精准的结构化评审意见。它源自阿里内部使用两年、服务数万开发者、累计发现数百万代码缺陷的官方评审助手，经大规模验证后开源。

安装要求与快速上手

环境要求
- Git ≥ 2.41：OCR 依赖 Git 生成 diff、检索代码与仓库操作。
- 支持 Windows / macOS / Linux 三大平台；需要配置一个大模型接口（OpenAI / Anthropic 兼容即可），或使用”委托模式”无需配模型。
安装（npm 全局安装）
```
npm install -g @alibaba-group/open-code-review
```
安装完成后，全局即可使用 ocr 命令。也支持安装脚本、GitHub Release 二进制、源码编译等方式。

配置模型
```
# 选择内置服务商或添加自定义服务商
ocr config provider
# 为当前服务商选择模型
ocr config model
```
交互式界面会引导你完成服务商选择、API Key 填写与模型配置，并自动测试连通性。

交互式模型配置界面（图片来源：项目 README）

开始评审
```
cd your-project

# 工作区模式：评审所有暂存/未暂存/未跟踪的改动
ocr review

# 分支范围：对比两个 ref
ocr review --from main --to feature-branch

# 单个 commit
ocr review --commit abc123

# 整文件扫描：不看 diff，直接审阅整个仓库或指定目录
ocr scan
ocr scan --path internal/agent
```
核心功能
- 确定性工程 × Agent 混合架构：对”绝不能出错”的评审步骤（选文件、匹配规则、定位行号）用工程逻辑硬约束保证正确，把动态决策与上下文检索交给 Agent，各司其职。
- 精准选文件 + 智能打包：明确判定哪些文件需评审、哪些应过滤；把关联文件（如中英两份 message 属性文件）打包为一个评审单元，每包作为隔离上下文的子 Agent 并发运行，在超大改动集上依然稳定。
- 行级精准定位 + 反思模块：独立的评论定位与评论反思模块，系统性提升 AI 反馈的位置准确度与内容准确度，避免”行号漂移”。
- diff 评审 + 整文件扫描：ocr review 审阅改动，ocr scan 审阅整份文件——适合审计陌生代码库或没有有意义 diff 的目录。
- 丰富集成能力：内置 MCP Server 扩展工具、CI/CD 集成（GitHub Actions / GitLab CI / Gerrit 等），并可作为 Skill 或插件接入 Claude Code、Codex、Cursor；浏览器端 Session Viewer 可回放评审过程。
性能基准

官方基于 50 个热门开源仓库、200 个真实 PR、10 种编程语言构建了真实世界评审基准，由 80+ 资深工程师交叉标注出 1505 个基准问题。结果显示：在同一底座模型下，OCR 的 准确率（Precision）与 F1 显著更高，而 Token 消耗仅约通用 Agent 的 1/9、评审更快；召回率略低，是”以精度换噪声”的有意取舍。

在同一底座模型下的基准表现概览

典型使用场景
- 提交前自检：在本地 ocr review 一把，把行级问题在推送前就修掉，减少来回改 PR 的成本。
- CI 流水线自动评审：接入 GitHub Actions / GitLab CI，对每个 PR 自动评审并留下行级评论，低 Token 成本让团队大规模跑得起。
- 审计陌生代码库：接手老项目或第三方代码时用 ocr scan 整文件扫描，快速摸清 NPE、线程安全、XSS、SQL 注入等隐患。
推荐理由

市面上”给 Agent 套个 Skill 就当代码评审”的方案不少，但真正在工程上把稳定性做扎实的不多。OCR 最打动我的一点，是它没有一味迷信大模型，而是把”该确定的地方交给工程、该灵活的地方交给 Agent”这条边界划得很清楚——这正是它能在阿里内部大规模跑两年、且在基准上只花约 1/9 Token 就拿到更高精度的原因。对追求 CI 成本可控、又不想被误报刷屏的团队来说，这是个值得一试的选择。它还内置了针对 NPE、线程安全、XSS、SQL 注入等常见缺陷的微调规则集，开箱即用。

下载地址
- GitHub 仓库：https://github.com/alibaba/open-code-review
- 官方网站：https://open-codereview.ai
- 官方文档：https://open-codereview.ai/docs
- npm 包：@alibaba-group/open-code-review
- 开源许可：Apache-2.0
2026年7月24日
Archon：把 AI 编码变成确定性工作流的开源 harness 构建器
项目简介

Archon 是首个开源的 AI 编码 harness（流程编排）构建器——用 YAML 把“规划→实现→校验→审查→提 PR”等开发流程固化下来，让 AI 编码智能体每次都按同一套确定性步骤执行，把“看模型心情”变成“可重复、可提交”的工程实践。

如果说 Dockerfile 之于基础设施、GitHub Actions 之于 CI/CD，那么 Archon 之于 AI 编码工作流。可以把它理解为“面向软件开发的 n8n”。

安装要求和过程

环境要求
- 运行时：Bun（macOS/Linux/Windows 均支持）
- AI 编码助手：Claude Code（默认），或 Codex、Pi
- GitHub CLI（gh）：用于自动建分支、提 PR
- 系统：macOS / Linux / WSL / Windows（PowerShell）；数据库默认 SQLite，可切 PostgreSQL
快速安装（30 秒，已有 Claude Code）
```
# macOS / Linux
curl -fsSL https://archon.diy/install | bash

# Windows (PowerShell)
irm https://archon.diy/install.ps1 | iex

# 或 Homebrew
brew install coleam00/archon/archon
```
⚠️ 编译版二进制不含 Claude Code，需单独安装并指定 CLAUDE_BIN_PATH；Docker 镜像则已自带。

完整初始化（5 分钟，推荐）
```
git clone https://github.com/coleam00/Archon
cd Archon
bun install
claude          # 在 Claude Code 里说：“Set up Archon”
```
引导向导会配置凭证、选择接入平台，并把 Archon skill 复制到你的目标仓库。之后在你的项目里直接对编码智能体说 “Use archon to fix issue #42” 即可。

核心功能
- 确定性、可重复：开发流程写成 YAML 工作流，固定阶段与校验门（validation gate），每次运行同一套顺序——计划、实现、校验、审查、PR，结果一致。
- 隔离并行：每个工作流运行都在独立的 git worktree 中，可同时修 5 个 Bug 而互不冲突。
- 发射后不管（Fire & forget）：启动一个工作流就去忙别的，回来已经是一个带审查意见的成品 PR。
- 确定性节点 + AI 节点可组合：bash 脚本、测试、git 操作等确定性步骤由机器精确执行；规划、代码生成、审查等只在 AI 真正增值的地方运行。
- 随处可跑、全员共用：工作流定义在 .archon/workflows/，提交进仓库后，从 CLI、Web UI、Slack、Telegram 到 GitHub 表现完全一致；内置 19 个常用工作流，也可自定义。
典型使用场景

场景一：自动修 GitHub Issue

对智能体说 “Use archon to fix issue #42”，自动触发 archon-fix-github-issue 工作流：分类 → 调研/规划 → 实现 → 校验 → 提 PR → 智能审查 → 自我修复，全程无需你盯着。

场景二：从想法到 PR（Idea-to-PR）

archon-idea-to-pr 把“给设置页加暗黑模式”这类想法，自动走规划 → 循环实现（直到测试通过）→ 审查 → 提 PR → 5 个并行 reviewer → 自我修复，产出完整 Pull Request。

场景三：团队远程异步协作

接入 Slack / Telegram / GitHub / Discord 后，在群聊里丢一句话就能触发工作流；所有平台的活动汇聚到同一个 Web 仪表盘（Mission Control），实时查看进度与历史。

推荐理由

我自己最吃这一套的点在于“把流程的所有权拿回自己手里”。平时让 AI 智能体修 Bug，跑十次九个样：有时忘了跑测试、有时 PR 描述敷衍、并行修多个问题时还互相踩。Archon 用一份 YAML 把团队认可的工程纪律写死，AI 只在需要创造力的节点上发挥作用，其余交给确定性执行——稳定、可审计、可复现。它不绑定某家模型，Claude / Codex / Pi 随便换；Web 仪表盘 + 多平台接入也让“远程派活、回来收 PR”变得很顺。对想把 AI 编码真正纳入研发流程的团队，这是目前最像样的开源方案之一。

下载地址
- 官网 / 文档：https://archon.diy
- GitHub：https://github.com/coleam00/Archon（⭐ 22.9K · MIT · TypeScript）
- 快速安装：curl -fsSL https://archon.diy/install | bash
2026年7月22日

标签： CI/CD

Codex Security：OpenAI 开源的 AI 代码安全审计工具（CLI + SDK）

📌 项目简介

💻 安装要求与过程

环境要求

快速安装

✨ 核心功能

🎯 典型使用场景

💡 推荐理由

📥 下载地址

Open Code Review：阿里巴巴开源的 AI 代码评审 CLI，Token 只用 1/9 却更精准

一句话简介

安装要求与快速上手

环境要求

安装（npm 全局安装）

配置模型

开始评审

核心功能

性能基准

典型使用场景

推荐理由

下载地址

Archon：把 AI 编码变成确定性工作流的开源 harness 构建器

项目简介

安装要求和过程

环境要求

快速安装（30 秒，已有 Claude Code）

完整初始化（5 分钟，推荐）

核心功能

典型使用场景

场景一：自动修 GitHub Issue

场景二：从想法到 PR（Idea-to-PR）

场景三：团队远程异步协作

推荐理由

下载地址