文章总结： 本文探讨AI-NativeSAST，即结合静态分析与AI的技术。作者指出AI难以替代传统SAST，但在审查AI生成的代码和检测业务逻辑漏洞上有价值。文章分析了成本与上下文衰减等挑战，并提出利用SAST预过滤、RAG增强及代码图的混合架构。核心结论是应利用静态分析引导AI关注重点，而非盲目全量分析，以此利用当前低成本Token提升检测效率。 综合评分： 87 文章分类： 代码审计,AI安全,安全工具,应用安全

通过魔法和狡猾，我再次窃取了他们的图。右键单击，以 NFT 风格在新标签页中打开查看大图像。对不起这个笑话，朋友们，但那些图表真的不可读。

现在我们可以看这张图的某个局部：这里有路由、它们的方法、HTTP 动词以及它们的作用。这是扩展后的调用链，最有可能被传给 AI 来建立关联（例如创建响应，或使用 ORM 与数据库交互）。

图上的粉红色框可能代表一个独立系统或某些安全细节。我也不确定。这倒是个很好的例子：这里信息不足，我们可以怎么把工具做得更好。谢谢你提供的信息。

接下来，他们介绍了用于探索这类图的论文，但我已经学到我想要的了。

另一个工具，Slice: SAST + LLM 过程间上下文提取器 的工作方式类似：它用 CodeQL 查询和 tree-sitter 提取易受攻击的代码，用 gpt-5-mini 分流，然后在“幸存者”上使用 GPT-5。

MCP

MCP 是当前的热潮，也是“使 AI 具有确定性”战争中的最新武器。MCP 让 AI 访问工具：如果我们让 AI 访问像 Semgrep 这样的 SAST MCP，它就可以自己查询数据。这比 grep 强，因为 AI 可以请求特定的代码部分。你仍然需要单独创建并公开 Semgrep 规则，除非你信任 AI 即时编写它们。

底线：你越多地牵着 AI 的手（也就是在上下文中塞进更多相关信息），就越好。

嵌入模型

ZeroPath 的图是“把代码转换成 AI 更容易理解、从而便于检索的形式”的一个例子。还有另一个：GitHub Copilot 最近推出了新的嵌入模型（copilot-embedding），据说可以改善代码检索。请参阅 GitHub Copilot 在查找代码方面变得更智能：我们的新嵌入模型内部。

嵌入模型做什么？它把数据转换为多维空间中的一个点（例如 1024 个浮点数）。把代码分块喂给模型（模型有 token 限制）。要检索时，把搜索条件输入到同一个模型，再用一些基础矩阵运算找出哪些代码块离输入最近。

嵌入模型会优于静态分析的模式匹配吗？我们为了嵌入模型和 AI 摘要抛弃了几十年的信息检索研究，所以谁知道呢。真正的突破会是一个能理解代码意图的模型：解释代码应该做什么，再把它与实际行为对照来发现漏洞。对于业务逻辑缺陷和 AuthN/AuthZ 等漏洞类别，这比模式匹配要好得多。如果你知道这个领域的研究，请告诉我 🙂

我们今天在这里学到了什么？

这是我这场 3800 字闲聊会话的总结：

即使是最基本的方法（提示 + 代码）也比什么都不做好。时间和便宜的 token 不会永远持续下去。去你的组织里做这件事，拿到晋升；建个初创公司，拿到风投的钱——这些 AI 资本支出补贴会在你反应过来之前消失。

在我看来，AI-native SAST 还不能取代传统 SAST。当前的 LLM 还不太能真正理解代码；我们需要通过静态分析告诉它们该看哪里。通过上下文工程、有针对性的提示和过滤输入来“牵手”，AI 才会比通用的“查找漏洞”请求有用得多。

像往常一样，如果你有反馈，你知道如何联系我。如果你找不到我，那你就不配对我大喊大叫 🙂

1. 由于某种原因，这个格言在波斯语版本中编号为 74，在英语翻译中编号为 50。↩︎
2. Twitter 上少数没有糟糕技术观点的动漫头像账户之一。↩︎
3. 虽然很诱人，但不要要求 AI 提取路由。不要使用 AI 来完成可以用更少计算完成的任务。↩︎

WTF is … – AI-Native SAST?

免责声明：本博客文章仅用于教育和研究目的。提供的所有技术和代码示例旨在帮助防御者理解攻击手法并提高安全态势。请勿使用此信息访问或干扰您不拥有或没有明确测试权限的系统。未经授权的使用可能违反法律和道德准则。作者对因应用所讨论概念而导致的任何误用或损害不承担任何责任。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：securitainment Parsia《什么是 AI-Native SAST？》