reddit · SideProject · 10-16 17:50 63 分 ← 返回列表

I built a CLI agent that triages SAST findings using an adversarial LLM pass (Open Source)

Traditional SAST tools drown you in false positives, while dumping an entire repo into an LLM is slow, expensive, and hits context limits fast. To fix this in my own workflow, I built PuedoBot a CLI security auditor that uses deterministic scanning to find suspicious code, and a two-pass LLM pipeline where the second pass actively tries to disprove the first one's findings. How the pipeline works: Deterministic Sweep: Runs AST sink traversal, Bandit, Semgrep rules

五维评分

付费意愿

需求真实度

个人可落地

竞争空间

新鲜度

AI 分析

痛点：传统 SAST 工具误报泛滥让人淹没，而把整个代码库丢给 LLM 又慢又贵还会撞上下文上限，安全团队需要一个低成本、低误报的告警分诊方案。

目标用户：安全工程师、DevSecOps 团队、需要做代码安全审查的中小研发团队和独立开发者

证据：Traditional SAST tools drown you in false positives, while dumping an entire repo into an LLM is slow, expensive, and hits context limits fast. ... I'm open-sourcing the core scanning and dual-pass triage engine (Apache 2.0) so anyone can run it against their own c（暗示有个人商业版与开源版之分）

变现：开源核心 + 商业版模式：免费 CLI/引擎，付费提供托管 SaaS、CI/CD 集成、团队协作面板、企业策略与合规报告；也可按扫描量或席位订阅收费。

MVP：2 周内做一个 GitHub App + CLI：只用 Semgrep/Bandit/OSV 做确定性扫描，加一轮『Scout vs Defense Attorney』对抗式双 pass LLM 分诊，只在 PR 里输出幸存的高置信度告警，支持 BYO API Key 的模型接入。

竞品：Snyk Code、Semgrep、GitHub Advanced Security / CodeQL、Corgea、ZeroPath、Amplify Security

摘要：一位开发者在 r/SideProject 发布 PuedoBot，一个 Apache 2.0 开源的 CLI 安全审计工具，用确定性扫描（AST/Bandit/Semgrep/OSV/密钥扫描）先定位可疑代码，再用两轮 LLM 流水线——第二轮扮演『辩护律师』主动反驳第一轮结论，只保留幸存告警以降低误报。它通过隔离被标记代码片段作为不可信输入来防提示注入，并支持 OpenAI、DeepSeek、Gemini、Anthropic、Ollama 等多种模型。帖子明确表示开源核心引擎、保留个人商业版本，但未给出任何收入或付费意愿数据。