# 策展 · X (Twitter) 🔥🔥🔥🔥

> 作者：Vercel Developers (@vercel_dev) · 平台：X (Twitter) · 日期：2026-05-05

> 原始來源：https://x.com/vercel_dev/status/2051381241283539255

## 中文摘要

Vercel 開源 deepsec 程式碼安全 harness，專為大型程式庫設計的 Agent 驅動漏洞掃描工具。

Vercel 開源「deepsec」，這款以程式撰寫 Agent 為核心的安全 harness，能在使用者自家基礎設施上運行，專門挖掘大型程式庫中難以察覺的漏洞。它支援 CLI 優先操作、沙盒擴展、plugin 相容的程式撰寫 Agent，並可搭配 AI Gateway 或自有訂閱進行推論，無需雲端服務暴露敏感原始碼。

**架構與工作流程**  
deepsec 核心利用 Claude 和 Codex 模型，最高規格啟用 Opus 4.7 全力調查及 GPT 5.5 xhigh 推理模式，對程式庫進行客製化剖析。掃描流程分為五階段：  
- **Scan**：純 regex 掃描所有檔案，標記安全敏感區域作為後續焦點。  
- **Investigate**：Agent 逐一調查標記檔案，追蹤資料流、檢查緩解措施，並產生帶嚴重度評級的可行動發現。  
- **Revalidate**：第二輪 Agent 驗證調查結果，移除假陽性並重新分類嚴重度。  
- **Enrich**：調查完成後，Agent 利用 git 元資料及其他選用服務，識別負責修復各問題的貢獻者。  
- **Export**：匯出指令將發現格式化為指示，便於轉換成人類或程式撰寫 Agent 的工單。  

**擴展與效能**  
單機掃描大型程式庫可能耗時數天，deepsec 支援選用 fanout 至 Vercel 沙盒進行遠端並行執行，Vercel 自身程式庫掃描常擴展至 1,000+ 並行沙盒。內部使用數月後，他們測試於多個大型開源程式庫，證實其在大規模 monorepo 的實用性；使用者可在筆電上運行，無需額外雲端設定，僅需既有 Claude 或 Codex 訂閱即可推論。

**生產環境應用案例**  
deepsec 已應用於 Vercel 自身 monorepo 及客戶程式庫，發現 auth 條件中的細微邊緣案例，促使開發自訂掃描器 plugin 涵蓋所有認證路徑。  
- Unkey 共同創辦人兼 CEO James Perkins 表示：「我們一直尋找開源程式庫的安全掃描工具，deepsec 掃描最徹底、發現最多，且真陽性率良好。」  
- dub.co（行銷歸因平台，具認證存取、資料庫互動及多後端服務）開源版經 deepsec 掃描，創辦人 Steven Tey 回饋：「我們收到許多自動化安全報告，多數不可行動；deepsec 是首款浮現我們希望安全工程師標記問題的工具，且在我們控制的基礎設施運行。」  

**假陽性與最佳適用**  
deepsec 發現中假陽性率約 10-20%，作者認為真陽性影響重大，故透過 revalidate 步驟讓 Agent 進一步驗證以降低假陽性。他們對此結果滿意，但強調 deepsec 最適用於應用程式與服務；對程式庫或框架，需自訂提示與掃描器才具實用性。

**自訂與 plugin 系統**  
deepsec 內建 plugin 系統，適應特定程式庫，常見為自訂掃描器：針對 auth 模型、資料層或團隊慣例調校的 regex 匹配器。建議先運行初始掃描，然後讓程式撰寫 Agent 依據先前結果生成匹配器，例如詢問「檢視 ./my-app 先前運行，是否需新增自訂 deepsec 匹配器以發現更多漏洞候選？」此方法強化工具對專案的適配性。

**模型相容性**  
無需特殊「cyber model」，deepsec 相容 Anthropic 與 OpenAI 的 cyber 微調模型（專為安全任務設計，基模拒絕的任務也能處理），但 off-the-shelf 模型如 Opus 4.7 與 GPT 5.5 即足夠。內建分類器檢查每步研究後是否被拒絕，實測中拒絕非問題。

**起步與回饋**  
起步簡單：在程式庫根目錄執行 `npx deepsec init`，產生 `./.deepsec` 目錄用於系統設定與調查目錄；依指令輸出跟進，完整文件在 GitHub。雖然已廣泛內部使用，但仍處開發早期，歡迎 GitHub 回饋與貢獻。Vercel CTO Malte Ubl 於 2026 年 5 月 4 日發布此公告，強調其在內部與客戶測試的成功，凸顯開源工具對大型程式庫安全的實戰價值。

## 標籤

開源專案, Agent, 資安, CLI, Harness, Vercel, Anthropic, OpenAI