代码审计

AI Code Quality Auditor：审计 AI 编码智能体是否按规格交付代码并衡量代码质量

dominicrume/ai-code-quality-auditor · An empirical safety harness for agentic AI coding systems: measures whether an AI agent built what the specification asked for, not just whether the code runs. Pre-registered, blinded, open data.

该项目是一个面向智能体式 AI 编码工作流的实证测量与审计工具。它从需求文档、README、包描述或 feat: 提交中提取规格并写入 .auditor/spec.yaml，然后逐项核对代码是否实现了所要求的功能（规格保真度，区分已交付、缺失、存在但不可达以及未被要求的内容），同时报告安全漏洞密度、圈复杂度、重复代码和返工等常规指标。它还支持在同一规格下对比人工基线与多个商业智能体工具的工作流，输出 CSV/JSON 供统计比较，并通过 CI 集成或本地仪表盘展示结果。项目带有学术研究背景（MSc 论文实验工具）与公开数据，也明确披露了自身的误报和方法学限制。

php2shell-checker：基于 PHP 版本检测 PHP2Shell 漏洞风险

openai/php2shell-checker

OpenAI 开源的 PHP 版本检查工具，通过网站的 PHP 响应头或本地安装信息判断是否处于 PHP2Shell 漏洞受影响版本范围，输出 OK、POTENTIALLY VULNERABLE 或 UNKNOWN 三种结果，支持命令行直接运行和 Codex 技能两种使用方式。

你的 AI 智能体修好了缺陷，但它还改了什么？

Trail of Bits 发布了两款插件：patching-bugs 负责复现报告的缺陷、开发修复并测试；regression-hunt 负责检查改动是否破坏了原本正常且受支持的行为。起因是他们此前与 OpenAI 合作的 Patch the Planet 项目在合并的 130 多个补丁中确认引入了 21 个回归（16 个功能、1 个性能、4 个构建/测试），虽然没破坏安全防护，但说明只靠智能体打补丁不够稳。两款插件通过固定流程、严格输入输出格式，并要求每条结论都用真实运行环境的「概念验证」复现来减少误报；初步评测中 regression-hunt 的误报比一个被要求「审查回归」的 Codex 基线智能体少 25%。对工程师和开源维护者来说，这提供了一种更可控、可复核的方式把补丁开发和回归检查交给智能体，同时保留人工审核和项目自身的安全规则。目前是刚发布的插件，评测为初步结果。

ai-kit：面向产品需求与全栈开发的智能体技能工作流工具包

polyms/ai-kit · Polyms AI toolkit — agents, skills, and workflows for product management, requirements, and everyday work.

Polyms 的 ai-kit 是一套版本控制的智能体技能与角色智能体合集，用斜杠命令串联产品对齐、需求与 PRD 撰写、设计规格、任务拆分、TDD 开发、代码审查、文档、E2E 测试、DevOps 与架构重构等环节。当前以 Cursor 为主，设计上兼容其他工具，通过 bootstrap 脚本将技能与智能体软链到本地编辑器目录，偏重小而易组合的工作流，而非重量级流程框架。

Loupe：按数据流顺序重构 PR 差异并逐符号卡片审阅

JiwonKKang/loupe · Loupe — human-first code review desktop app. Reorders a PR diff into data-flow order and walks you through it one symbol-card at a time, with AI clustering, labels, and codebase-aware inline Q&A. (Tauri + React + Rust)

Loupe 是一个 macOS 桌面应用，用于进行以人为中心的代码评审。它把 PR 的 diff 按数据流顺序重排，将改动拆分为逐个函数或类型的符号卡片，并用 AI 对改动聚类、为各组打标签。用户可以在卡片内选中代码行发起内联问答，回答由限定在仓库内、只读的 Claude 代理检索真实定义与调用方后给出；还支持跳转编辑器、通过 CLI 打开评审以及从总结页批准 GitHub PR。

agent-skills：为 AI 编程代理提供软件工程思维框架技能集

iceinvein/agent-skills · Thinking frameworks from foundational software engineering texts — installed as skills for AI coding agents.

该项目将 Brooks、Parnas、Rams、Feathers 等基础软件工程与设计文献中的方法论编码为技能，安装到 Claude Code、Cursor、Codex、Gemini CLI 等 AI 编程代理中，使其在写代码之外还能推理结构、耦合、复杂度和设计感知。技能覆盖代码迁移与估算、代码架构审计（复杂度、契约、模块边界、耦合、内聚、依赖方向、类型设计等）、UI 与视觉设计审查、系统设计与集成模式审查、缺陷复现验证、输出压缩、求职信写作以及工作流编排，另有 improve-my-codebase 和 magpie 等组合审计流程。提供 Bun CLI 进行安装、浏览、更新和查看，支持 Claude Code 插件市场方式安装。

Whetstone：AI 驱动的代码审查工具

bricehelms23/Whetstone · AI-Powered Code Review Tool

Whetstone 是一个以 Java 编写的 AI 驱动代码审查工具，仓库简介和 README 仅给出“AI-Powered Code Review Tool”这一描述，未说明具体审查能力、模型接入方式、部署条件和限制。

CodeGuard AI：结合静态分析与 AI 辅助的代码审查平台

nischalk987/CodeGuardAI · CodeGuard AI is an AI-powered code review platform that helps developers identify potential bugs, security vulnerabilities, performance issues, and code quality problems. Built with FastAPI, React, and the Groq API, it aims to streamline code reviews through intelligent analysis, actionable recommendations, and a scalable, modular architecture.

CodeGuard AI 是一个早期 MVP 阶段的 AI 辅助代码审查平台，结合确定性静态分析与可解释的 AI 发现，用于识别潜在缺陷、安全漏洞、性能问题和代码质量问题。项目包含 React 前端、FastAPI 后端、本地 CLI 扫描（内置确定性检查和可选 Semgrep）、PostgreSQL 持久化审查 API、Redis 队列与 Celery worker，并可通过显式 opt-in 调用 Groq 或 Hugging Face 进行单文件 AI 审查。仪表盘目前仅展示标注为示例的数据，GitHub PR 审查与内联发现尚在规划中。AI 建议定位为辅助性提示，不替代人工审查。

revai：面向 Git 分支的交互式 AI 代码审查 Agent Skill

jonathasrochadesouza/revai · An interaction-based code review agent skill featuring correction capabilities and full reasoning abilities, utilizing low token costs.

revai 是一个以 Agent Skill 形式安装的交互式 AI 代码审查工具，只审查 git 分支补丁中的改动行。它依据通用审查基准和按技术栈划分的作业手册（playbook）分析问题，输出结构化审查结果并生成可交互 HTML 报告（质量门禁、按严重度或文件筛选、跳过或恢复、明暗主题），然后在浏览器中自动打开。它还支持双向修复闭环：向 Agent 说出“fix CR-03”即可按 ID 修复，或从报告复制提示词粘贴到任意 Agent 会话。项目支持用 .revai/rules.md 或 CODING_STANDARDS.md 覆盖内置规则，无第三方依赖。