静态分析工具花了多年时间将源代码与已知的不良模式进行匹配，并向工程师提供一长串候选问题，以进行手工分类。AgentGG与人工智能代理一起完成相同的工作，这些代理读取代码、跟随导入、行走呼叫图，并在报告之前确认发现。该项目是根据Apache 2.0许可证发布的开源代理SAST扫描仪。
代理如何运行
每个代理都是一个自包含的降价文件，带有YAML前端，声明先决条件、目标文件模式以及它遵循的说明。该目录包含100多个官方代理，并在第一次扫描时从agentgg-agents存储库下载。安装通过npm运行，有一个全局命令，该工具需要Node.js 20或更高版本。
扫描分阶段运行。快速侦察通行证首先调查该项目，并简要介绍它是什么以及它是如何工作的，这为随后的每个代理指明方向。然后，代理并行运行，每个代理都支持工具的调查，跟踪导入和呼叫者，在标记之前确认发现。然后，可选的验证通道会分析每个发现背后的代码，在提供渗透测试范围时咨询，并标记它。最终评分通过附加了CVSS严重程度。可以在本地网络用户界面中浏览发现，按严重程度、代理或文件进行过滤。
技术门控保持扫描的专注
在每次扫描时，快速侦察首先调查项目，并记录其语言、框架和依赖项。然后，它检查每个代理的先决条件，以决定该代理是否值得在此存储库上运行。先决条件可以是package.json、composer.json、go.mod和pyproject.toml等告示文件的廉价正则表达式检查，也可以是读取侦察简报的可选模型门。对仅限Go的存储库的扫描会跳过PHP、Python、Ruby和。NET代理，因为每个代理都有自己的语言的先决条件，所以它自己退出。--no-recon标志跳过侦察和先决条件门控，并强制每个选定的代理运行，这有助于在调试调查尚未识别的堆栈上的代理。
简历是内置的。状态目录跟踪每个扫描的文件，因此中断的扫描会从它停止的地方拾起，并且未更改的文件在下一次通过时不收费。调查结果在输出目录中以GHSA形状的降价文件的形式登陆，并带有汇总每个代理计数和验证判决的摘要报告。
提供商选项和模型质量
AgentGG与Anthropic、OpenAI、Ollama、AWS Bedrock和Google Vertex AI合作。一次性设置向导将凭据写入配置文件，一次性标志可以在不保存的情况下为CI运行提供密钥。Ollama在当地免费运行。
抖音安全工程师、AgentGG的首席维护者Philip Garabandic告诉Help Net Security，模型选择取决于错误类型。他说：“我们发现，一些bug类在更便宜的模型中效果很好，而一些在前沿模型中效果更好。”“例如，密钥和SQL注入风险，即使是Ollama也能找到它们。如果您正在扫描更复杂的安全错误或业务逻辑错误，您想要一个更好的模型。”对于团队来说，为每个错误类别选择正确的模型仍然是一个开放的研究问题。
目录审查和信任
官方代理目錄經過人工審查。Garabandic说：“是的，我们有一个官方的GitHub代理库，这些代理被审查了。”“就像Nuclei拥有官方模板库一样，我们有一个供代理使用的。他们被从那里拉出来，我们手动审查了合并在那里的任何东西。”到达用户机器的代理来自该审查的源，一个单独的自定義目錄包含使用者安裝的代理。
验证和基准
AgentGG包括一个可选的验证阶段，一个第二次通过模型调用，该调用重新读取每个发现的源，并将其标记为已确认、假阳性、范围外或不确定。范围文件允许验证者查阅安全策略或渗透范围文档，因此它可以标记参与之外的发现。该工具可以将CVSS 3.1严重性分数附加到每个发现中，并在拉取请求的GitHub操作中运行，范围为代码差异。
Garabandic将范围特征与测量收益挂钩。他说：“我们再次对deepsec等工具进行了基准标记，我们发现了更多的错误，误报减少了约10-20%，因为我们允许您添加pentest范围作为验证上下文的一部分。”
AgentGG在GitHub上免费提供。
原文链接地址：https://www.helpnetsecurity.com/2026/06/05/agentgg-open-source-agentic-sast-scanner/
