文章总结： DeepAudit是一款基于Multi-Agent架构的AI代码审计工具，旨在解决传统审计效率低与误报高等痛点。该工具通过多Agent协同结合RAG知识库挖掘漏洞，并利用Docker沙箱自动生成PoC验证真实性。它支持OpenAI、DeepSeek等主流模型及Ollama本地私有化部署，提供项目管理和多格式报告导出，能有效提升安全审计的自动化水平。 综合评分： 88 文章分类： 安全工具,代码审计,AI安全,漏洞分析
人人拥有的 AI 审计战队，让漏洞挖掘触手可及
lintsinghua lintsinghua
道一安全
2026年3月6日 13:15 北京
免责声明
道一安全（本公众号）的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！
界面预览
Agent 审计入口
首页快速进入 Multi-Agent 深度审计
审计流日志
实时查看 Agent 思考与执行过程
智能仪表盘
一眼掌握项目安全态势
即时分析
粘贴代码 / 上传文件，秒出结果
项目管理
GitHub/GitLab/Gitea 导入，多项目协同管理
专业报告
一键导出 PDF / Markdown / JSON（图中为快速模式，非Agent模式报告）
为什么选择 DeepAudit
| 😫 传统审计的痛点 | 💡 DeepAudit 解决方案 | | — | — | | 人工审计效率低 跨不上 CI/CD 代码迭代速度，拖慢发布流程 | 🤖 Multi-Agent 自主审计 AI 自动编排审计策略，全天候自动化执行 | | 传统工具误报多 缺乏语义理解，每天花费大量时间清洗噪音 | 🧠 RAG 知识库增强 结合代码语义与上下文，大幅降低误报率 | | 数据隐私担忧 担心核心源码泄露给云端 AI，无法满足合规要求 | 🔒 支持 Ollama 本地部署 数据不出内网，支持 Llama3/DeepSeek 等本地模型 | | 无法确认真实性 外包项目漏洞多，不知道哪些漏洞真实可被利用 | 💥 沙箱 PoC 验证 自动生成并执行攻击脚本，确认漏洞真实危害 |
整体架构图
DeepAudit 采用微服务架构，核心由 Multi-Agent 引擎驱动。
审计工作流
| 步骤 | 阶段 | 负责 Agent | 主要动作 | | — | — | — | — | | 1 | 策略规划 | Orchestrator | 接收审计任务，分析项目类型，制定审计计划，下发任务给子 Agent | | 2 | 信息收集 | Recon Agent | 扫描项目结构，识别框架/库/API，提取攻击面（Entry Points） | | 3 | 漏洞挖掘 | Analysis Agent | 结合 RAG 知识库与 AST 分析，深度审查代码，发现潜在漏洞 | | 4 | PoC 验证 | Verification Agent | (关键) 编写 PoC 脚本，在 Docker 沙箱中执行。如失败则自我修正重试 | | 5 | 报告生成 | Orchestrator | 汇总所有发现，剔除被验证为误报的漏洞，生成最终报告 |
项目代码结构
DeepAudit/├── backend/ # Python FastAPI 后端│ ├── app/│ │ ├── agents/ # Multi-Agent 核心逻辑│ │ │ ├── orchestrator.py # 总指挥：任务编排│ │ │ ├── recon.py # 侦察兵：资产识别│ │ │ ├── analysis.py # 分析师：漏洞挖掘│ │ │ └── verification.py # 验证者：沙箱 PoC│ │ ├── core/ # 核心配置与沙箱接口│ │ ├── models/ # 数据库模型│ │ └── services/ # RAG, LLM 服务封装│ └── tests/ # 单元测试├── frontend/ # React + TypeScript 前端│ ├── src/│ │ ├── components/ # UI 组件库│ │ ├── pages/ # 页面路由│ │ └── stores/ # Zustand 状态管理├── docker/ # Docker 部署配置│ ├── sandbox/ # 安全沙箱镜像构建│ └── postgres/ # 数据库初始化└── docs/ # 详细文档
快速开始
方式一：一行命令部署（推荐）
使用预构建的 Docker 镜像，无需克隆代码，一行命令即可启动：
curl -fsSL https://raw.githubusercontent.com/lintsinghua/DeepAudit/v3.0.0/docker-compose.prod.yml | docker compose -f - up -d
国内加速部署（作者亲测非常无敌之快）
使用南京大学镜像站加速拉取 Docker 镜像（将 ghcr.io 替换为 ghcr.nju.edu.cn）：
# 国内加速版 - 使用南京大学 GHCR 镜像站
curl -fsSL https://raw.githubusercontent.com/lintsinghua/DeepAudit/v3.0.0/docker-compose.prod.cn.yml | docker compose -f - up -d
手动拉取镜像（如需单独拉取）
# 前端镜像docker pull ghcr.nju.edu.cn/lintsinghua/deepaudit-frontend:latest
# 后端镜像docker pull ghcr.nju.edu.cn/lintsinghua/deepaudit-backend:latest
# 沙箱镜像docker pull ghcr.nju.edu.cn/lintsinghua/deepaudit-sandbox:latest
配置 Docker 镜像加速（可选，进一步提升拉取速度）
如果拉取镜像仍然较慢，可以配置 Docker 镜像加速器。编辑 Docker 配置文件并添加以下镜像源：
Linux / macOS：编辑 /etc/docker/daemon.json
Windows：右键 Docker Desktop 图标 → Settings → Docker Engine
{ "registry-mirrors": [ "https://docker.1ms.run", "https://dockerproxy.com", "https://hub.rat.dev" ]}
保存后重启 Docker 服务：
# Linuxsudo systemctl restart docker
# macOS / Windows# 重启 Docker Desktop 应用
方式二：克隆代码部署
适合需要自定义配置或二次开发的用户：
# 1. 克隆项目git clone https://github.com/lintsinghua/DeepAudit.git && cd DeepAudit
# 2. 配置环境变量cp backend/env.example backend/.env# 编辑 backend/.env 填入你的 LLM API Key
# 3. 一键启动docker compose up -d
首次启动会自动构建沙箱镜像，可能需要几分钟。
支持的漏洞类型
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
| — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — |
| | 漏洞类型 | 描述 | | — | — | | sql_injection | SQL 注入 | | xss | 跨站脚本攻击 | | command_injection | 命令注入 | | path_traversal | 路径遍历 | | ssrf | 服务端请求伪造 | | xxe | XML 外部实体注入 | | | 漏洞类型 | 描述 | | — | — | | insecure_deserialization | 不安全反序列化 | | hardcoded_secret | 硬编码密钥 | | weak_crypto | 弱加密算法 | | authentication_bypass | 认证绕过 | | authorization_bypass | 授权绕过 | | idor | 不安全直接对象引用 | |
支持的 LLM 平台
| | | | | — | — | — | | 🌍 国际平台 OpenAI GPT-4o / GPT-4 Claude 3.5 Sonnet / Opus Google Gemini Pro DeepSeek V3 | 🇨🇳 国内平台 通义千问 Qwen 智谱 GLM-4 Moonshot Kimi 文心一言 · MiniMax · 豆包 | 🏠 本地部署 Ollama Llama3 · Qwen2.5 · CodeLlama DeepSeek-Coder · Codestral 代码不出内网 |
功能矩阵
| 功能 | 说明 | 模式 | | — | — | — | | 🤖 Agent 深度审计 | Multi-Agent 协作，自主编排审计策略 | Agent | | 🧠 RAG 知识增强 | 代码语义理解，CWE/CVE 知识库检索 | Agent | | 🔒 沙箱 PoC 验证 | Docker 隔离执行，验证漏洞有效性 | Agent | | 🗂️ 项目管理 | GitHub/GitLab/Gitea 导入，ZIP 上传，10+ 语言支持 | 通用 | | ⚡ 即时分析 | 代码片段秒级分析，粘贴即用 | 通用 | | 🔍 五维检测 | Bug · 安全 · 性能 · 风格 · 可维护性 | 通用 | | 💡 What-Why-How | 精准定位 + 原因解释 + 修复建议 | 通用 | | 📋 审计规则 | 内置 OWASP Top 10，支持自定义规则集 | 通用 | | 📝 提示词模板 | 可视化管理，支持中英文双语 | 通用 | | 📊 报告导出 | PDF / Markdown / JSON 一键导出 | 通用 | | ⚙️ 运行时配置 | 浏览器配置 LLM，无需重启服务 | 通用 |
项目地址
https://github.com/lintsinghua/DeepAudit?tab=readme-ov-file
点分享
点收藏
点在看
点点赞
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：道一安全 lintsinghua lintsinghua《人人拥有的 AI 审计战队，让漏洞挖掘触手可及》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论