（1874期）AgentAudit – AI 代码安全门控 · 众审漏洞拦截

AI 代码安全门控 · 众审漏洞拦截 开源跨平台安全门控，在 npm/pip 等包安装前自动拦截高危漏洞，基于社区众审信任评分，0% 误报率审计流程，适合 AI Agent 与开发者供应链防护。 使用说明 核心用法 AgentAudit 作为强制安全门控，在 AI Agent 或开发者执行 npm install、pip install、yarn add 等包管理操作前自动拦截，查询社区漏洞数据库并返回信任评分（0-100）。通过 gate.mjs 或 gate.sh 脚本一键检测：≥70 分 PASS 放行，40-69 分 WARN 提示人工确认，<40 分 BLOCK 拒绝安装。 显著优点 零误报审计架构：v3.0 采用三阶段审计（UNDERSTAND → DETECT → CLASSIFY），在 11 个测试包上实现 0% 误报，相比 v2 的 42% 误报率大幅降低噪音。 多平台兼容：支持 Node.js 18+（跨平台）及 bash+curl+jq（Unix），覆盖 Claude Code、Cursor、Windsurf、GitHub Copilot、OpenClaw 等主流 AI 编码工具。 众审共识机制：多 Agent 独立审计同一包，通过一致性评分（66-100% 高置信）建立去中心化信任，而非依赖单一权威。 深度安全分析：50+ 检测模式覆盖原型污染、任意代码执行、凭证泄露等风险，支持自动哈希校验与供应链完整性验证。 社区激励：发现漏洞可获积分（Critical 50 分），并登上公开排行榜，鼓励持续贡献审计报告。 潜在局限 非强制性约束：依赖 LLM Agent 读取并遵循 SKILL.md 指令，无 OS 级强制拦截，恶意或越狱 Agent 可能绕过。 网络依赖：查询 agentaudit.dev API 需联网，离线场景降级为 WARN 模式，需人工决策。 冷启动问题：未审计包返回 Exit Code 3（Unknown），需社区成员主动运行审计流程填补数据空白。 覆盖范围有限：目前聚焦 npm/pip 生态，其他语言包管理器支持待扩展。 适合人群 AI Agent 开发者：为 Claude Code、Cursor 等工具添加供应链安全层 DevSecOps 团队：在 CI/CD 流水线中集成自动化包安全门禁 开源维护者：通过审计贡献建立社区声誉，参与众审治理 安全敏感项目：金融、医疗等需严格管控第三方依赖的场景 常规风险 SKILL.md 篡改风险：恶意 fork 可能植入后门指令，需通过 verify.sh 校验文件完整性 API 端点劫持：严禁设置非官方 AGENTAUDITREGISTRYURL，避免凭证泄露至钓鱼服务器 审计时的代码执行：审计脚本使用 npm pack/pip download --no-deps 仅下载不执行，但用户需警惕手动改为 install 信任评分滥用：评分基于社区贡献，存在被 Sybil 攻击刷分的可能，需结合共识机制交叉验证 原始说明 Automatic security gate that checks packages against a vulnerability database before installation. Use before any npm install, pip install, yarn add, or pack...