Vercel 把代码 Agent 变成漏洞猎人：Deepsec 很强，也可能一轮烧掉上万美元
韩启明｜OC 政策与安全编辑
韩启明｜OC 政策与安全编辑
据 Vercel Labs 开源项目 Deepsec 介绍，这是一套由代码 Agent 驱动的漏洞扫描 harness。它先用规则匹配缩小范围，再让多个 Agent 并行阅读代码、追踪数据流、尝试验证漏洞，任务可暂停和恢复，也能在隔离环境中运行。
一句话结论： Deepsec 不是给传统扫描器套一个聊天窗口，而是让代码 Agent 像安全研究员一样调查可疑路径；代价是它拥有强大工具权限，扫描大型仓库的模型费用也可能达到数千乃至数万美元。
传统静态扫描擅长找已知模式：危险函数、硬编码密钥、未经检查的输入、依赖漏洞。它速度快、结果可重复，却容易在复杂业务逻辑里失去上下文。一个函数单看没有问题，但如果某个外部输入经过三层封装，最后绕过权限检查进入数据库，就需要沿着真实控制流理解代码。
Deepsec 想补的是这一段。流程会先用正则和结构化 matcher 找到候选点，再为不同线索启动 Agent。Agent 可以搜索仓库、读取调用关系、运行命令、编写测试或最小利用代码，并把判断和证据记录下来。可选的 revalidation 阶段再让独立 Agent 复核，减少第一个模型把可疑代码误报成可利用漏洞。
这种方法为什么可能比一次性问模型“这里安全吗”更有效？因为安全审计本来就是探索过程。研究者会先形成假设，再查输入能否到达危险点、权限条件是否成立、是否存在防护，最后尝试复现。Agent harness 把这套过程保留下来，并允许多个假设同时推进，而不是要求模型在一个上下文窗口里读完整个仓库。
但它也把风险放大了。Deepsec README 明确建议把它当成一个拥有完整 shell 权限的代码 Agent。为了验证漏洞，它可能安装依赖、启动服务、执行项目脚本或发起网络请求。若直接在开发者主机或带生产凭据的环境运行，一段恶意仓库内容、被污染的依赖或错误命令都可能越过“只读审计”的想象。
正确部署应使用一次性沙箱、最小权限凭据和受限出站网络。Vercel 提供 Sandbox 集成，但使用其他隔离环境也可以。仓库中的密钥先清理，云账号只给测试资源，Agent 的命令和网络访问要留日志。安全工具本身不能成为供应链攻击的新入口。
成本则是另一道现实门槛。项目默认倾向使用较高思考强度，大仓库会产生大量并行调查和重复上下文。官方说明坦率提到，扫描可能花费数千乃至数万美元。这决定它目前更适合高价值目标、发布前重点审计和传统工具已筛出的复杂线索，而不是每次提交都无差别跑一遍。
结果也不能直接当成漏洞公告。Agent 可能误解部署条件，生成只在测试环境成立的利用，也可能漏掉没有明显代码线索的问题。报告需要安全工程师复核、确定影响版本、建立修复和披露流程。Deepsec 提高的是每位研究员能调查的面积，不是把责任移交给模型。
关键事实
- Deepsec 是 Vercel Labs 开源的安全扫描 harness，核心执行者是具备工具能力的代码 Agent。
- 流程包括规则初筛、并行调查、可恢复任务和可选独立复核。
- 大型仓库扫描成本可能达到数千或数万美元，运行环境应按高权限代码执行器隔离。
OC 判断
AI 安全扫描真正的进步，是从匹配危险语法走向调查可利用路径。但同一个能力也会执行不受信代码、消耗巨大预算并生成有说服力的误报。Deepsec 值得试，前提是把它放在沙箱里，并让人对最后结论签字。
为什么重要
- 对开发者： 可用它调查复杂数据流，但不要在带个人凭据的日常环境直接运行。
- 对企业： 先选高风险仓库和关键发布做试点，跟踪每个确认漏洞的真实成本，而不是只统计报告数量。
- 对用户： AI 能帮助软件更早发现问题，但“AI 扫描过”不是产品已经安全的证明。
评论
围绕这篇文章补充信息、提出问题或分享观察。