AI 资源库 · 已整理 15 项
查看与静态分析相关的 AI 资讯、工具、Skill、工作流和开源项目。
卡内基梅隆大学研究了采用 Cursor 的公开代码仓库，发现头一个月新增代码行数涨了 3 到 5 倍，但大约两个月后涨幅就消失了；同时静态分析警告多了 30%，代码复杂度上升 41%。也就是说，写代码变快了，但检查代码仍然主要靠人工评审，速度没跟上，评审反而成了瓶颈，技术债也在增加。Sonar 提出用自动化验证补上这一环：在智能体写代码时、CI 合并前、以及上线后的维护阶段都持续检查，让问题更早、更便宜地暴露，而不是让模型自己给自己的作业打分。对团队来说，这意味着在享受 AI 提速的同时，仍能守住代码质量和安全标准。
sshaaf/rgctl · A code knowledge graph built for LLM agents — accurate answers, minimal tokens, maximum speed
rgctl 是用 Rust 实现的代码知识图谱命令行工具，为 LLM 编程智能体提供确定性的结构化查询能力。索引一次后，可通过紧凑的 JSON 输出查询调用者、传递影响范围（blast-radius）、控制流与数据流切片、克隆检测、社区聚类以及 PR 调用路径变化，减少智能体反复用 grep 搜索整个代码库并读取整文件带来的 token 开销。项目使用 tree-sitter 解析器，覆盖 14 种一级语言以及 ERB、Markdown，并支持将技能包安装到 Cursor、Claude、Codex 等编码智能体。
nischalk987/CodeGuardAI · CodeGuard AI is an AI-powered code review platform that helps developers identify potential bugs, security vulnerabilities, performance issues, and code quality problems. Built with FastAPI, React, and the Groq API, it aims to streamline code reviews through intelligent analysis, actionable recommendations, and a scalable, modular architecture.
CodeGuard AI 是一个早期 MVP 阶段的 AI 辅助代码审查平台，结合确定性静态分析与可解释的 AI 发现，用于识别潜在缺陷、安全漏洞、性能问题和代码质量问题。项目包含 React 前端、FastAPI 后端、本地 CLI 扫描（内置确定性检查和可选 Semgrep）、PostgreSQL 持久化审查 API、Redis 队列与 Celery worker，并可通过显式 opt-in 调用 Groq 或 Hugging Face 进行单文件 AI 审查。仪表盘目前仅展示标注为示例的数据，GitHub PR 审查与内联发现尚在规划中。AI 建议定位为辅助性提示，不替代人工审查。
有人拿同一个漏洞百出的网站做测试，一边用 Evo COS 这种直接去打活网址的工具，一边用 Claude Security 这种只读代码找漏洞的工具。结果 Evo COS 能证明 15 条攻击链里的 10 条确实能打通，比如先利用一个漏洞拿到签名密钥，再用它伪造管理员身份接管后台；而只读代码的模型虽然也能发现同样的两个漏洞，却无法证明它们能被串起来真正攻破系统。这说明看代码和打活系统是互补的两件事，想真正评估风险，两边的活都得干。
AI 编程智能体在写接口时，常常只检查“用户登录了吗”，却不检查“这条数据是不是他的”。比如让它写一个按编号查发票的接口，它会验证登录、查不到就返回 404，看起来都对，但任何人只要改一下 URL 里的编号，就能看到别家公司的发票。问题在于“发票属于某个组织、用户只能看自己组织的发票”这条规则存在于产品设计里，代码和提示词里都没写，所以智能体不知道要加。这类问题叫越权访问（BOLA/IDOR），在 OWASP Top 10 中排第一，传统扫描工具因为没有固定特征可匹配，很难自动发现，目前仍主要靠懂产品的人人工审查，或在查询条件里补上组织范围来修复。
提供的材料未提及具体可用工具。
alexhawat/mergeCraft · An evidence-first AI code review engine combining deterministic analysis, model reasoning, independent verification, and policy-driven merge gates
mergeCraft 是一个开源（MIT）的独立 GitHub Action，用于在拉取请求（PR）上执行 AI 代码审查。它采用 BYOK（自带密钥）模式，可接入 Claude Pro/Max、ChatGPT 订阅、API 密钥或任意 OpenAI 兼容端点，无需 SaaS 账号或自建后端。其审查流程先由确定性分析器处理机械可验证的事实，再由 LLM 判断剩余问题，并在发布每个 Critical/Major 发现前由只读验证器复核。审查结果以类型化发现（typed findings）呈现，驱动行内评论、mergecraft-approval 检查以及可选的 SARIF 上传；支持信任层级（trust tier）、政策驱动的合并门禁、契约化退出码和 JSONL 事件流，也可通过 CLI 审查本地 diff、worktree 或克隆仓库，并对外提供只读 MCP 工具。
Kenny27lokku/prompt-integrity-validator · Lint Your Prompts, Ship Better Agents – Prompt Refiner 2026 Rule Engine
Prompt Lint 是一个面向 AI 提示词模板的静态分析引擎，对发送给 Claude、ChatGPT、Gemini 等 LLM 的提示词做确定性的规则检查，而不改写内容。它提供 PR001–PR-INJ03 共 47 条规则，覆盖角色混淆、注入面暴露、分隔符逃逸、长度与冗余指令等问题，并支持 CLI、CI/CD 集成、JSON 与 HTML 报告、本地 Web 仪表盘以及通过自有 API Key 调用 OpenAI 与 Anthropic 接口进行模型特定校验。
Intragroup-pottle634/claude-code-analysis · Analyze Claude Code’s architecture, modules, and design patterns to understand its internals and build better tools and integrations
该项目面向希望了解 Claude Code 内部结构的读者，提供对其模块组成、核心部件连接方式、内部模块布局以及常见设计模式的结构化分析，并以适合 Windows 用户浏览的文件夹与页面形式组织文档、图表和报告。内容定位于学习与研究，而非直接用于开发或集成。
NVIDIA/SkillSpector · Security scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.
SkillSpector 是 NVIDIA 发布的 AI agent 技能安全扫描器，用于在安装 Claude Code、Codex、Gemini CLI 等 agent 技能前发现漏洞、恶意模式、提示注入、数据外泄和供应链风险。它支持扫描 Git 仓库、URL、zip、目录或单个文件，内置 71 个漏洞模式（覆盖 17 个类别），采用静态分析加可选 LLM 语义评估的两阶段分析，并可输出终端、JSON、Markdown 和 SARIF 报告，同时提供 0-100 风险评分与基线误报抑制功能。项目还可作为 MCP 服务器运行，把安全扫描作为工具接入 agent 工作流以拦截不安全的技能安装。
tirth8205/code-review-graph · Local-first code intelligence graph for MCP and CLI. Builds a persistent map of your codebase so AI coding tools read only what matters, with benchmarked context reductions on reviews and large-repo workflows.
code-review-graph 是一个 local-first 的代码智能图谱工具，使用 Tree-sitter 将代码库解析为函数、类、导入等节点及调用、继承、测试覆盖等边，并存入图谱。它通过 MCP 向 AI 编程工具提供精简的审查上下文，按 blast-radius 分析只返回变更真正影响的文件，并支持增量更新、CLI 与 GitHub Action 形式的 PR 风险评分审查。项目为 Python 包，要求 Python 3.10+。
nold-ai/specfact-cli-modules · Official SpecFact modules for AI-bloat defense: deterministic code-review validation, cleanup forecasts, workflow packs, and docs for AI-assisted Python delivery.
该项目是 SpecFact CLI 的官方模块注册库，托管 nold-ai 官方 bundle 及其文档，用于 AI 辅助 Python 交付场景。其代码审查 bundle 可给出 ai_bloat 提示性发现，识别 AI 生成代码中常见的冗余形态（如恒等 try/except、单调用包装、直通 lambda、冗余中间变量、过长的线性函数），提供确定性代码审查验证、清理预测与工作流包，并包含模块签名、语义化版本管理与契约测试等质量门禁流程。
nold-ai/specfact-cli · AI-bloat defense CLI for Python teams: deterministic code review, cleanup forecasts, and spec/contract evidence for AI-assisted and brownfield delivery.
SpecFact CLI 是一个本地运行的 Python 命令行工具，针对 AI 辅助编程和存量（brownfield）项目提供确定性的代码审查、清理影响预测以及规范/契约证据。它无需 API 密钥、可离线工作，能检测冗余包装器、直通 lambda、恒等 try/except、可避免的中间列表、低分支长函数等 AI 编码常见的膨胀形态，并将审查结果以 JSON 形式交给 Claude、Codex、Cursor、Copilot 或无头代理等 AI IDE 进行修复，再复跑审查以获得证据。支持通过 uvx 零安装试用，并可接入 pre-commit 钩子、GitHub Actions 等流程，同时衔接 Spec Kit、OpenSpec、backlog 等上游规划输入作为验证证据。
trailofbits/publications · Publications from Trail of Bits
这是安全公司 Trail of Bits 公开发布的资料合集仓库，收录学术论文、白皮书、指南手册、会议演讲、播客、网络研讨会、公开意见、案例研究、安全审查报告、漏洞披露与利用、工作坊、数据集及服务概览等内容，并按自动化漏洞发现与利用、区块链、编译器、密码学、机器学习、移动安全、供应链、威胁分析等主题分类整理，主要作为安全研究与学习的参考资料。
hermes-labs-ai/rule-audit · Static analyzer for AI system prompts: parses a prompt into normative rules and reports contradictions, coverage gaps, priority ambiguities, and absolute-rule edge cases - no LLM calls. Deterministic pure-Python lint with CLI, Python API, and CI exit codes. pip install rule-audit
rule-audit 是一个纯 Python 静态分析工具，将 AI 系统提示词和 Agent 指令解析为规范性规则，报告逻辑矛盾、覆盖缺口、优先级歧义、元规则悖论和绝对规则边界情况，全程不调用 LLM。它以确定性 lint 方式提供 CLI、Python API 和 CI 退出码，可用于 pre-commit 钩子在提交前审查 CLAUDE.md、AGENTS.md、SOUL.md 等提示词文件，也可作为 Claude Code、Codex、Gemini CLI、Hermes Agent 的插件使用。检测基于词法解析（句子切分、情态动词正则、关键词簇）而非语义模型，作者明确说明它只能发现候选缺陷，不能证明提示词可被利用。
HutCh1E/Skills-check · Perform automated multi-layer security analysis on AI Agent skills to detect code risks and runtime threats efficiently.
Skills-check 是一款用于检查 AI Agent 技能或插件安全风险的工具，通过静态分析、LLM 分析和沙箱分析三层检测代码中的风险。支持粘贴代码、上传文件、输入 GitHub URL 或安装命令来获取并分析技能代码，帮助用户在安装前发现反向 shell、数据窃取、代码注入等潜在威胁。