2 篇文章带有标签 “code-security”

LLM/Agent 代码安全扫描 + 自动修复（扫描代码安全、修复）

这些项目用 LLM 驱动 Agent 动态运行/分析代码，找出真实漏洞并生成修复方案（远超传统静态扫描）。

首推：Strix（⭐ 20.6k）

• 链接：https://github.com/usestrix/strix
• 核心功能：自主 AI “黑客” Agent，动态运行你的代码/应用 → 发现 IDOR、注入、XSS、权限绕过、业务逻辑漏洞等 → 自动生成 PoC 验证 → 一键输出可合并的 PR 修复补丁。
• 支持 GitHub repo / 本地目录 / 线上 URL 扫描，多 Agent 协作、浏览器自动化、完整工具链。
• 支持 OpenAI、Claude、Gemini、本地 LLM（LiteLLM）。
• 安装一行命令：curl -sSL https://strix.ai/install | bash
• 非常适合 CI/CD 集成，已有 GitHub Actions 示例。
• 强烈推荐，目前最成熟的“找漏洞+自动修复”方案。

LLM/Agent 模拟渗透测试（自主黑盒/白盒渗透）

这些项目让 LLM Agent 像真实渗透测试员一样：规划 → 执行工具 → 分析结果 → 迭代攻击。

首推：PentestGPT（⭐ 11.8k） 链接：https://github.

代码注入：SQL注入：MyBatis

提示词

您是一名 Java 高级软件工程师，主要任务是根据缺陷报告的信息修复软件中的漏洞。

要求

请根据缺陷报告，修复缺陷代码片断的缺陷。 要求修复后的软件不改变原有的功能。 需要给出修复后的代码片段或者修复建议。

缺陷报告 缺陷类别： 一级类： 代码注入 二级类：SQL注入：MyBatis 详细信息： SQL注入是一种数据库攻击手段。攻击者通过向应用程序提交恶意代码来改变原SQL语句的含义，进而执行任意SQL命令，达到入侵数据库乃至操作系统的目的。在Mybatis Mapper Xml中，#变量名称创建参数化查询SQL语句,不会导致SQL注入。而$变量名称直接使用SQL指令，会导致SQL注入攻击。 例如：以下代码片段采用$变量名称动态地构造并执行了SQL查询。 <!