北京
安謀（Arm）將旗下一款名為梅蒂斯（Metis）的智能體式AI安全框架正式開源。這套系統被設計用來自主發現軟件中那些極難捕捉的復雜漏洞，它不依賴傳統的模式匹配，而是通過語義推理去分析跨越組件、文件乃至函數之間的深層依賴關系，最后用開發者能一眼看懂的自然語言把問題講清楚。
現代代碼庫的規模與結構越來越龐大，不同模塊間互相調用、層層嵌套，傳統靜態應用安全測試（SAST）工具在面對這種局面時，常常顯得力不從心。安謀也指出，當漏洞的觸發路徑跨越多個函數邊界、牽涉到不同的第三方庫時，基于固定規則和模式匹配的檢測方式不僅容易漏報，還會產生大量讓工程師頭疼的誤報。梅蒂斯的思路不是寫死規則，而是讓一個“智能體式”的AI來理解代碼意圖，再在整個代碼庫的尺度上尋找那些需要綜合判斷的安全問題。
這個框架的核心工作流借助了檢索增強生成（RAG）技術，把一個大語言模型和項目自身的上下文——包括源代碼、構建文件、設計文檔——緊緊綁定在一起。這樣一來，模型在分析問題時，腦子里就不只是孤立的代碼片段，而是包含了系統的設計意圖、數據流向，以及組件之間應該如何配合的清晰圖景。安謀表示，這種“帶著項目專屬知識”去讀代碼的方式，讓梅蒂斯在處理整個代碼倉庫、單個文件、拉取請求甚至最近的代碼變更時，都能做到比主流靜態分析工具高出10倍的真正檢出率，同時把誤報數量壓低了約50%。
誤報對于工程團隊來說，不只是多花幾分鐘去確認那么簡單。每一次誤報都會消耗審查精力，反復出現的假警報還會悄悄削弱開發者對自動化工具的信任，讓真正重要的告警更容易被忽略。把誤報砍掉一半，意味著團隊能把評審和驗證的時間集中到真正有風險的缺陷上，補救的速度更快，浪費在無效追蹤上的情緒成本也大大降低。梅蒂斯還可以和其他外部SAST工具并行工作，專門負責驗證這些工具吐出的告警，幫它們“去偽存真”。在安謀內部以GPT-5.5-Cyber作為基座模型的基準測試里，梅蒂斯識別漏洞的準確率達到了98%；作為對比，傳統SAST工具在同一批測試上的準確率僅有6%。
好用的檢測工具不能只扔出一個告警編號就完事。梅蒂斯在標記漏洞的同時，會生成一份可操作的摘要說明，把漏洞的成因、可能被利用的路徑、修復的優先級都講明白，讓開發和安全工程師能快速進入修補邏輯，而不是先花時間研究“這個告警到底在說什么”。這一層“解釋即交付”的設計，在需要跨團隊協作的大型項目里，價值會被進一步放大。
在技術選型上，梅蒂斯刻意保持了開放和輕量的姿態。它沒有把自己鎖在某一家模型供應商上，只要是兼容OpenAI接口的大語言模型都可以接入；支持的編程語言也覆蓋了C、C++、Python、Go、TypeScript、Rust等主流選項。其插件式架構允許團隊針對自己用的編程語言、偏好的模型，甚至是自定義的分析提示詞做快速擴展，不需要改動框架內核。
部署方式同樣靈活。梅蒂斯同時支持Ollama和vLLM兩條路線，所有配置集中在一個metis.yaml文件中。如果想在本地用Ollama跑一個Llama 3.1模型，只需在llm_provider部分填上服務地址、模型名，以及嵌入模型參數即可——比如代碼和文檔的嵌入模型都設為nomic-embed-text:v1.5。對于走vLLM部署的場景，安謀推薦把LiteLLM架在LLM提供商的前端，再把梅蒂斯的請求路由過去，這樣既能復用高性能推理服務，又能保持接口的一致與穩定。
從整個框架的設計邏輯往回看，梅蒂斯試圖解決的是一個老問題的新形態：當代碼復雜到人類難以逐行審查、而自動化工具又只能看到局部規則時，如何讓機器用一種接近系統理解的方式去“讀懂”代碼。它把大模型推理、項目級知識檢索和可擴展的插件體系揉在一起，目標不是多發現幾個模式重復的簡單漏洞，而是去抓住那些需要跨文件、跨語境的深層缺陷。減少誤報又不是簡單地設置更嚴格的告警閾值，而是讓模型在理解了系統應該怎樣工作之后，再判斷什么是不應該發生的。
98%的準確率和6%的傳統基線放在一塊，反差足夠醒目，但更值得留意的是這個數字背后的意味：當基座模型的能力足夠強，項目專屬的上下文同步得足夠細，靜態分析這個領域可能不再只是規則數量的比拼，而是變成了對系統理解的深度競賽。梅蒂斯開源的不僅是代碼，還有一種用AI重新審視代碼安全的方法——讓漏洞檢測從“找花紋”進化到“讀意圖”。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
