arm/metis

它解决了什么问题

Metis 解决了在复杂或遗留代码库中进行安全代码审查的挑战，这些场景往往是传统静态分析工具难以应对的。它帮助工程师识别细微的漏洞并改进安全编码实践，同时减少与深度安全审计相关的手动工作和疲劳。

工作原理

Metis 是一个代理 AI 框架，利用大语言模型 (LLMs) 对源代码进行语义分析。与传统的 linter 不同，它不依赖硬编码规则。相反，它使用基于插件的系统来解析代码 (通过 Tree-sitter)，构建代码库图，并进行基于推理的审查。它支持多种向量数据库后端 (ChromaDB, PostgreSQL, Qdrant) 来存储和检索代码库上下文，并且可以验证其自身或第三方安全工具的发现结果，从而减少误报。

适用人群

它专为在大型、复杂或遗留软件项目中工作的安全工程师和开发人员设计，他们需要一种自动化、可扩展且由 AI 驱动的深度代码安全分析方法。

亮点

• 深度推理： 使用 LLMs 进行语义理解，而非简单的模式匹配。
• 广泛的语言支持： 支持超过 20 种语言，包括 C, C++, Rust, Go, Python 和 Solidity，并具有可扩展的插件架构。
• 灵活的集成： 兼容主流 LLM 提供商 (OpenAI, Anthropic, Gemini, AWS Bedrock) 和本地推理引擎 (vLLM, Ollama, llama.cpp)。
• 基于证据的分类： 验证发现结果并生成 SARIF 格式的输出，使其既可以作为独立的审查员，也可以作为现有安全工具的分类助手。