我建议任何负责维护开源软件项目安全的人，让他们维护的项目请Claude Code进行安全审计。我认为对于Firefox来说，如果没有很多注意，这可能不会很有效，因为它是一个巨大的项目。但对于其他大多数项目，这可能只需要3美元的token费用。因此，你应该假设坏人已经对你的项目进行了这样的审计，寻找可以利用的东西，现在不进行这样的审计不再显得负责任。当我为Zulip的关键代码库进行此类审计时，我发现让模型仔细自我审查每个发现很有用；这消除了大部分的误报。其余的大部分我们通过添加注释来解决，这些注释可以帮助开发人员（或模型）在随意阅读代码时理解该代码路径的预期安全模型...而且确实，这些大部分在随后的第二次审计中都没有出现。
源讨论通过Anthropic的红队强化Firefox原帖 173 条评论 · 导入时统计把你的经验，加入这段讨论。
我很好奇：有没有人写过一篇详细的关于如何从AI安全审计中获得良好结果的最佳实践文章？看起来它可以进行得很顺利（就像这里一样），或者完全没用（就像提交到HackerOne的那些AI垃圾），我认为区别在于你的上下文工程和测试工具的质量。 这篇文章做了一些这方面的内容，但我希望它能更详细地展开。
完整原文这就是我不会推荐使用AI的方式。 “做一件需要我花一周时间的事情”实际上不可能在几秒钟内完成。它会提供表面上看起来像现实的结果。 如果你要输入某个模块并要求对该模块进行有限检查，也许可以。 尽管代理声称如此……把它当作一个实习生来对待，你不会失望的。 你会让一个实习生对整个大型程序进行安全审计吗？
完整原文我有一些技能可以插入到`cargo-vet`中。这个想法很简单——在可能的情况下，我依靠几个可信的审查者（如Google、Mozilla），但对于那些不属于“经过人工审查”的新依赖项，我不希望重写它们，我让一堆Claude审查者先进行审查，然后再将该依赖项提供给我的项目。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。