AI 资源库 · 已整理 21 项
查看与CI/CD相关的 AI 资讯、工具、Skill、工作流和开源项目。
移动应用安全测试（MAST）是在 App 发布前检查应用代码、内置 SDK 和运行时行为中漏洞的做法。已发布的应用相当于任何人都能下载分析的二进制文件，硬编码的密钥等于公开。MAST 把静态分析（SAST）、第三方依赖检查（SCA）和动态分析（DAST）结合起来，贯穿每次构建，而不是上线前只做一次渗透测试；OWASP MASVS 是参考标准，OWASP Mobile Top 10（2024 年更新）是常见的风险清单。文章还列出评估测试工具的五个标准，如覆盖二进制与依赖、按可达性排优先级、融入 CI/CD、跨扫描器结果去重、提供含预编译 SDK 的 SBOM。需注意文中未点名具体工具产品，也主要引用了一项 2026 年调查称 86% 的工程负责人希望安全检查更自动化。
提供的材料未提及具体可用工具。
harness/mcp-server · Harness’ official MCP Server
Harness 官方 MCP 服务器，通过 11 个整合工具和 262 种资源类型，让 AI 代理访问 Harness.io 平台，覆盖 CI/CD、GitOps、Feature Flags、云成本管理、安全测试、混沌工程等 42 个默认工具集；支持 Stdio 与 HTTP 传输、Docker 和 Kubernetes 部署，提供 35 个预设提示模板，并支持多项目动态发现与基于 OAuth 的多用户认证。
CodeCritic-Reviews/review-action · AI-powered pull request code review for GitHub Actions. Posts findings to PRs, optional merge gates on severity.
CodeCritic Review 是一个 GitHub Actions 动作，在拉取请求 opening 或 synchronization（打开或同步）时调用 CodeCritic API 进行 AI 代码审查，并将审查摘要作为 PR 评论发布。它提供 review_id、0-100 的质量分数和 final status 输出；可按配置等待完成，或将分数用于后续步骤，并据此设置合并门槛。材料也说明这是 AI 生成结果，可能存在误报或漏报，不能替代人工审查或专业安全审计，并且不执行代码、不访问运行时行为。
Harness Builds 把测试智能（Test Intelligence）、代码覆盖率和质量信号结合起来，帮助开发者和 AI 智能体更快验证代码改动。问题是：AI 让写代码变快了，但每次改动仍要构建、测试、审查，改动越多，验证和判断代码好不好的时间就越关键，光跑得快不够。Harness 的做法是用测试智能挑出与改动真正相关的测试来跑，再用代码覆盖率显示哪些代码路径实际被测试执行过、哪些没被碰过；覆盖率还能在流水线里设阈值，低于标准就让构建失败。这样开发者可以更容易发现测试盲区，而不是只看一个覆盖率数字。文中未说明该功能目前是否已正式可用，还是处于演示或未来计划阶段。
这篇博客记录了作者用 Harness 搭建 CI 流水线的一次实际体验：他有一个 Java Maven 项目（含 42 个单元测试和 Dockerfile），以前搭流水线要手写一堆 YAML 配置，这次他把 GitHub 仓库授权给 Harness，让内置 AI 扫描代码、自动识别 Java + Maven 并生成构建、测试、缓存步骤，再手动加一步把镜像推到 DockerHub。整个过程不用写一行流水线 YAML，首次运行 2 分 34 秒全部通过，加上推送 DockerHub 后整条流水线也只跑了 3 分多钟，适合想快速体验 Harness CI 的开发者参考。
这期 Spring 的 Bootiful 播客请到了 Java 圈很有影响力的工程师 Kohsuke Kawaguchi（川口耕介），聊了他的职业经历和对技术的看法。他曾在 Sun 参与 JDK 里的 XML 和 Web 服务基础设施，还做过几个后来被开发者广泛使用的个人项目，最有名的当属 Jenkins——起初只是因为他自己受不了构建老失败，才写了 Hudson，后来演变成最重要的持续集成平台之一，靠的是插件化、开放和模块化的设计。他后来创办 Launchable 想让测试和 CI 流程更高效，相关成果后来并入了 CloudBees。现在他不再全职带团队，把时间花在长途骑行、做饭和旅行上。他也谈了对 AI 的看法：AI 正在快速改变软件开发，但更可能胜出的做法是把智能能力嵌进现有工作流，而不是让所有人都用一个大聊天窗口。如果你关心 Java 历史、CI/CD、开源文化或开发者工具，这期值得一听。
Datadog 推出 CI/CD Optimization，帮助平台和 DevOps 团队应对 AI 辅助开发带来的 CI 压力。AI 让代码产出变多，但流水线跑不完、测试结果不稳定、算力开销水涨船高，交付反而变慢。这个产品把流水线和测试数据与提交记录、日志、运行器及基础设施信息放在一起，帮团队找出瓶颈、自动重试不稳定的测试、只运行受改动影响的测试。对读者来说，这意味着查看合并请求的等待时间可能缩短，CI 账单也不会随代码量同步膨胀。文中提到 Betterment 把平均构建时间从近 40 分钟降到 10 分钟以内，The Browser Company 把 CI 流水线时间缩短了 50%。
Harness 发布博客文章，解释工程师为什么常常忽略云成本：传统 FinOps 工具把成本数据放在独立的财务仪表盘里，开发者得中断写代码去查，而且反馈往往要等 30 天才来，和日常交付节奏脱节。文章提出的做法是把成本信息“左移”进 CI/CD 和 IaC 流程：在合并请求合并前就评估这次改动是不是申请了没批准的实例类型、会不会超预算，超了就自动拦截或交给负责人审批；同时用 Harness Cost Management Agent 在服务级别做实时成本可见性。对平台团队来说，意义在于不用牺牲开发速度也能让开发者对云支出负责。目前文中提到的产品能力和模式来自厂商博客，具体发布时间和可用范围原文未说明。
CloudBees 是一家做企业级持续集成与交付（CI/CD）工具的老牌公司，新 CEO Mo Plassnig 今年上任时，董事会直接要求他不能按原路走。原因是生成式 AI 让代码产量大幅增加，企业面对的问题不再是写不出代码，而是如何管理 AI 生成的大量软件；如果继续老样子，公司可能被淘汰。他的计划是把 CloudBees 转型成一家“AI 优先”的组织，同时也要改造它旗下流行的开源自动化服务器 Jenkins。文章预告了他在播客里讲述具体怎么做，但对具体产品、时间表和技术方案没有展开说明。
Patrick Debois 分享了一个观点：把 AI 编程助手用到的“上下文”（可以理解为喂给它的背景信息，比如代码库说明、规则、文档）当成代码来管理。原来上下文往往散落各处、没有测试和版本控制，输出的结果也不稳定、难控制。他借用软件工程里成熟的做法——测试、CI/CD、包管理、安全扫描——来管理上下文，让团队能可靠地扩展 AI 编程代理，并对不确定的输出保持掌控，逐步积累组织知识。对读者的用处是：如果你想让 AI 编程助手在团队里稳定工作，可以借鉴这套把上下文当代码来维护的思路。目前材料只是演讲介绍，没有给出具体实施步骤或工具细节。
提供的材料未提及具体可用工具。
很多企业还在用老办法改 Oracle 数据库结构：手写 SQL 脚本、DBA 审批、午夜窗口执行。Oracle 的 DDL 不自带事务回滚，还有 RAC 集群、Data Guard 备库等特殊限制，让自动化比 MySQL、Postgres 更麻烦。Harness Database DevOps 通过 JDBC 连上 Oracle，把模式变更放进 Git 版本控制和 CI/CD 流水线，配合策略即代码护栏、预检校验和测试过的回滚脚本，让改数据库和改应用代码一样快、一样安全。对读者来说，如果团队正被 Oracle 手工改表流程拖慢，这套思路提供了一条可参考的落地路径。原文未说明该产品当前是否已正式可用或仅演示。
JFrog Artifactory 的替代方案该怎么选？这篇博客建议先弄清楚三件事：它是否支持你实际使用的软件包格式，安全扫描是否内置，以及定价模型会不会因为正常的 CI/CD 流量而多花钱。文章说，换仓库通常是被成本、复杂度和安全缺口逼出来的；真正迁移前要清点现有仓库、梳理依赖、先在最重的流水线上试跑再切换。对读者来说，这是一份迁移前的检查清单，而不是具体推荐某个产品。
Harness 推出面向 OpenAI 的连接器，让 ChatGPT 和 Codex CLI 能直接查看 CI/CD 流水线状态。以前排查构建失败，你得在两个工具间来回切换、翻日志找配置；现在可以在同一个对话里问清楚哪一步失败、原因是什么，还能在授权后新建、修改或执行流水线。所有操作都沿用你原有的 Harness 权限，通过 OAuth 登录，敏感改动需要单独确认。需要 Harness SaaS 账号并开启 OAuth，以及允许该集成的 OpenAI 工作区。
AI 编程工具让开发者写代码快了很多，但也让攻击者更容易找到和利用漏洞。文章说，现在 AI 不只帮人写代码，还在替人选择用哪些开源库；一旦攻击者攻破某个被广泛信任的开源组件，就可能像推倒多米诺骨牌一样影响很多下游系统。作者认为，组织不能只等扫描出漏洞再修，而要把更多精力放在“入口把关”，也就是确认进入开发流程的软件来源和内容是否可信。对读者的用处是：理解为什么软件供应链安全需要提前预防，而不是事后检测。文章没有说明具体的解决工具或发布日期。
提供的材料未提及具体可用工具。
这篇文章解释了工程师为什么常常忽视云成本：账单数据往往延迟几周才出现，而且是汇总后的数字，跟具体哪次提交、哪个部署造成的花费对不上号。作者提出的解决思路是把成本信息“左移”，也就是在代码合并和 CI/CD 流程里直接显示这次改动会多花多少钱，让工程师在写代码时就能看到并负责。文章还提到，Kubernetes 里把 CPU、内存请求设得过高，会导致云账单悄悄上涨，但普通账单面板查不出是哪个部署干的。Harness 被作为能帮助实现这类开发者视角 FinOps 的工具提及。
berkayturanci/homebrew-ai-jury · Homebrew tap for ai-jury — cross-vendor multi-agent code review
该仓库是 ai-jury 的 Homebrew tap，用于通过 brew install 命令安装 ai-jury——一个跨厂商多智能体代码审查工具。formula 由上游 ai-jury 仓库在每次发布时自动生成并同步到此处，仓库内的 verify-formula.yml 会在同步、推送、PR 及每日定时任务中校验下载 URL 的 sha256 与当前发布版本，减少安装失败或 brew upgrade 无更新的问题。
很多公司给容器打安全补丁时，总有些服务几个月都没更新，因为每个团队都自己写 Dockerfile，用的基础镜像和安装方式五花八门。Buildpacks 是一种不用写 Dockerfile、自动把源代码变成容器镜像的工具。它把选基础镜像、配运行时、生成物料清单等安全决策从各个开发团队收归到一个统一的构建平台。这样一来，平台团队可以集中管控和更新补丁，企业更容易在成百上千个服务里统一执行安全规则。
themanoj-025/AegisAI · AegisAI is an AI-powered security code review agent that analyzes GitHub pull requests, detects vulnerabilities, validates findings, redacts secrets, and posts actionable inline feedback before insecure code reaches production.
AegisAI 是一个基于 AI 的安全代码审查代理，通过 GitHub Webhook 接收 pull request 事件，提取 diff，经 Redis 队列交由 RQ Worker 处理：过滤噪声文件、重定向敏感信息、调用 Claude 或 GPT-4o 检测 12 类以上漏洞（SQL 注入、XSS、命令注入、硬编码密钥等），校验发现后以行内评论形式回写到 PR。项目使用 FastAPI + Redis + RQ 架构，提供 Docker 多阶段构建、HMAC-SHA256 签名校验、幻觉防护、Webhook 重试与死信队列及 Prometheus 指标。
alexhawat/mergeCraft · An evidence-first AI code review engine combining deterministic analysis, model reasoning, independent verification, and policy-driven merge gates
mergeCraft 是一个开源（MIT）的独立 GitHub Action，用于在拉取请求（PR）上执行 AI 代码审查。它采用 BYOK（自带密钥）模式，可接入 Claude Pro/Max、ChatGPT 订阅、API 密钥或任意 OpenAI 兼容端点，无需 SaaS 账号或自建后端。其审查流程先由确定性分析器处理机械可验证的事实，再由 LLM 判断剩余问题，并在发布每个 Critical/Major 发现前由只读验证器复核。审查结果以类型化发现（typed findings）呈现，驱动行内评论、mergecraft-approval 检查以及可选的 SARIF 上传；支持信任层级（trust tier）、政策驱动的合并门禁、契约化退出码和 JSONL 事件流，也可通过 CLI 审查本地 diff、worktree 或克隆仓库，并对外提供只读 MCP 工具。
24bsc244-svg/pdlc-forge · The Ultimate AI Code Workflow 2026 — 31 Hard-Contract PDLC Commands for Flawless GitOps
pdlc-forge（AI Contract Agent）是一个命令行强制约束层，位于开发者与大语言模型之间，要求 AI 在开发流程中兑现“硬契约”：承诺产出 PRD 就必须写入磁盘，承诺 TDD 就必须先有失败的测试，交付前必须通过自检命令。它提供多阶段 PDLC 流水线（默认 7 阶段，最多可配置 31 个自定义阶段）、契约违规即中止、绕过需显式 --force 并记入审计日志、支持 OpenAI / Claude / 本地模型适配，面向 CI/CD 自动化运行。