visa/visa-vulnerability-agentic-harness

它解决了什么问题

传统的静态应用程序安全测试（SAST）工具通常会产生大量需要人工分类、重现和验证的发现结果。VVAH 通过自动化源代码中漏洞的发现、对抗性验证、修复与验证，将平均适应时间（MTTA）从数周缩短至数小时。

它的运作方式

VVAH 作为一个代理式管道运作，包含三个主要阶段：

1. 发现（S0–S9）： 此阶段结合了确定性阶段（模式匹配与代码图分析）和代理式阶段（威胁建模与对抗性验证）。它建立符号、调用和导入的代码图，以便在不需要持续模型调用的情况下查询代码结构。
2. 修复（S10）： 管道对源代码应用最小修复，或以仅报告模式提出建议。
3. 验证（S11）： 由三个对抗性审查者角色组成的独立小组对建议的修复进行评分，以确保其有效性。

此系统与模型无关，支持 Anthropic 和任何与 OpenAI 兼容的端点，包括开放权重模型。

适用对象

需要自动化从检测到验证修复的漏洞生命周期的安全研究人员、应用程序安全团队和开发人员。

重点特色

• 对抗性验证： 根据代码验证发现结果，并提供漏洞利用场景和前置条件等证据。
• 可插拔代码图： 使用代码的确定性映射来提供代理上下文，而不增加 token 花费。
• 安全手册： 包含 17 种针对不同弱点家族（例如注入、CSRF、SSRF）的专业技能，以确保高质量的发现结果。
• 外部扫描器集成： 可通过 SDK 作为现有扫描器（如 Semgrep）的验证和报告层。
• 漏洞利用验证（Beta）： 提供可选的实时 HTTP 证据，证明发现结果可在本地 API 上被利用。
• 多模型支持： 无单一供应商依赖，允许使用各种 LLM 供应商。