传统代码审计工具误报率高、理解能力差，难以应对复杂业务逻辑。DeepAudit作为首个开源的多智能体AI系统，通过模拟黑客思维与专家协作，实现了自动化漏洞挖掘与验证，已成功发现48个CVE，为代码安全提供了全新的解决方案。
智能速览
DeepAudit是国内首个开源的代码漏洞挖掘多智能体AI系统。
该系统已成功发现48个CVE漏洞，覆盖16个知名开源项目。
通过Orchestrator、Recon、Analysis、Verification四大智能体协作完成审计。
结合Docker沙箱PoC验证，有效降低传统SAST工具的误报率。
支持国内外主流大模型及本地部署，适应不同网络环境。
精华内容
DeepAudit的革新之处在于其多智能体协作架构，让AI能像安全专家团队一样，系统性地执行代码审计任务。
多智能体协作
DeepAudit采用微服务架构，其核心驱动力是一个多智能体引擎，包含四个专用智能体。工作流程始于Orchestrator智能体进行策略规划，分析项目类型并制定审计计划。
随后，Recon智能体负责信息收集，扫描项目结构并识别攻击面。Analysis智能体则结合RAG知识库与AST（抽象语法树）进行深度代码审查，挖掘潜在漏洞。
最后，Verification智能体在隔离的Docker沙箱中编写并执行PoC（概念验证）脚本，以验证漏洞的真实可利用性。整个过程由Orchestrator智能体汇总，生成最终的专业审计报告。
RAG与沙箱验证
为解决传统SAST工具高误报率的痛点，DeepAudit引入了两项关键技术。首先，通过RAG（检索增强生成）技术，系统能结合ChromaDB中的CWE/CVE知识库，赋予AI代码语义理解能力，从而减少误判。
其次，独创的Docker沙箱验证机制是其核心优势。Verification智能体生成的PoC攻击脚本会在完全隔离的Docker容器内执行，动态构建目标环境进行测试，有效规避对真实系统的影响。根据官方数据，该系统的PoC验证成功率超过85%，整体误报率控制在15%以下，相比传统SAST工具降低了60%。
技术全貌
DeepAudit的技术栈现代化且全面。后端基于Python FastAPI，采用LangGraph和LangChain构建多智能体框架；前端则使用React 18与TypeScript，界面现代化。
在部署方面，项目提供了极大便利。用户可通过一条`docker-compose`命令实现生产环境的一键部署，也支持从源码进行开发部署。更值得一提的是，它不仅支持OpenAI、Claude等国际主流大模型，也全面兼容通义千问、文心一言等国内模型，并支持通过Ollama进行本地化部署，满足不同场景和网络环境的需求。
功能一览
在用户交互层面，DeepAudit提供了完善的功能矩阵。用户可以通过Git仓库、API或ZIP包导入项目进行完整审计，也可以利用即时分析功能快速扫描代码片段。
系统内置五维检测规则引擎，除了核心的安全漏洞，还关注Bug、性能、代码风格和可维护性。审计完成后，可一键生成包含漏洞定位、原因分析和修复建议的PDF、Markdown或JSON格式专业报告，实现闭环管理。
DeepAudit通过多智能体协作，不仅提升了代码审计的效率和准确性，也为AI在网络安全领域的应用开辟了新思路。当AI能够自主完成从发现到验证的全流程，未来的安全防御体系将如何演变？
