开源 PuedoBot：对抗式双通道 LLM 复核，砍掉 SAST 海量误报
No-Bumblebee-3536 · reddit · 2026-10-17
作者开源了 PuedoBot（Apache 2.0），一个用「对抗式第二遍 LLM 复核」来降低 SAST 误报的 CLI 安全审计工具。
流水线设计：
- 确定性扫描：AST sink 遍历、Bandit、Semgrep 规则、OSV.dev 依赖检查、git 历史密钥扫描（自动脱敏）。
- 隔离区（Quarantine）：不把整个仓库塞给 LLM，只提取被标记代码片段并包装为不可信输入，防止恶意代码注释/字符串的 prompt injection。
- Pass 1（侦察者）：追踪 source 到 sink 的数据流，检查缺失的 sanitizer，估算影响范围。
- Pass 2（辩护律师）：独立一遍 LLM，唯一任务是驳倒 Pass 1 的结论——寻找框架级防护、上游守卫或死代码路径；只有熬过辩论的发现才会呈现给用户。
其他要点：
- 模型无关：可接入 OpenAI、DeepSeek、Gemini、Anthropic、Groq、Mistral、OpenRouter 或 Ollama/vLLM/LM Studio 本地模型。
- 这是作者更大的私有 CLI 中抽取出的核心引擎；其私有版含自主仓库发现（每仓库 6 个月冷却期以保护开源维护者）、模型故障切换和负责任披露流程，因安全考虑未开源。
- 技术栈：Python 3.11+、FastAPI/uvicorn、PostgreSQL、Bandit、Semgrep（可选）、OSV.dev。
「编程与Agent」频道最新
- 「话到嘴边」式检索成新难题：Agent 时代检索系统的重要盲区 — bclavie · 2026-10-17
- vLLM 首次由 AI Agent 自主完成模型优化,每步均有明确性能提升 — vllm_project · 2026-10-17
- 仓库上线仅 2.5 天已合并 8639 个 PR,几乎每分钟一个 — ravisparikh · 2026-10-17
- Every 评测负责人：上下文腐烂了就重开线程，七种失效与重启法 — danshipper · 2026-10-17
- 一直说先查 prompt 周边系统，结果这次真是 prompt 的锅 — ClickOk5811 · 2026-10-17
- LEASH 框架：小模型打头阵，成本降 19.2% 媲美全时 Claude Opus 5 — xwang_lk · 2026-10-17