使用大语言模型保障源代码安全

本文分享了使用 Claude Opus 构建威胁模型、发现代码漏洞并进行验证、分类和修复的最佳实践。其核心流程是一个六步循环：威胁建模、沙箱隔离、漏洞发现、验证、分类和修复。作者指出，漏洞发现现在易于并行化，瓶颈已转移到后续的验证与处理阶段。以他们对开源软件的扫描为例，截至2026年5月22日已披露1,596个漏洞，其中97个已修补。指南建议结合代码库文档和专家访谈来构建准确的威胁模型，以降低误报，提升发现的可利用性。

本文分享了使用Claude Opus构建威胁模型、发现代码漏洞并进行验证、分类和修复的最佳实践，核心流程为六步循环，指出漏洞发现已可并行化，瓶颈转移至验证与处理。

• 使用Claude Opus构建六步安全循环。
• 漏洞发现已可并行化，验证成新瓶颈。
• 扫描开源软件发现1596个漏洞，97个已修复。
• 结合文档和专家访谈降低误报率。
• 建议将AI融入现有安全管道提升效率。

这是一条关于如何利用大语言模型（Claude Opus）提升源代码安全性的实践指南。信号的核心是提出了一个六步循环：威胁建模、沙箱隔离、漏洞发现、验证、分类和修复，并揭示了当前瓶颈从发现转向验证与处理。 为什么重要：传统代码审计依赖人工，效率低且容易遗漏。LLM的引入使得漏洞发现可以大规模并行化，大幅提升发现效率。但验证环节仍需人工介入，成为新的瓶颈。这表明AI在安全领域的应用正从“能发现”向“能验证”演进，对安全团队的工作流程有重大影响。 对谁有价值：主要面向安全工程师、DevSecOps团队、开源项目维护者以及使用AI辅助开发的开发者。通过实践该流程，可以将漏洞发现速度提升一个数量级，并借助威胁建模减少误报。 可以怎么行动：1）在现有安全管道中引入LLM进行威胁建模，结合代码库文档和专家访谈构建准确的威胁模型。2）将漏洞发现步骤并行化，采用沙箱隔离执行环境。3）建立验证与修复的自动化流水线，针对高吞吐量设计。4）定期扫描开源依赖，并跟踪已披露漏洞的修补状态。 风险或限制：LLM的输出可能存在误报或漏报，威胁模型的质量依赖于输入文档的完整性和专家知识。此外，并行化发现可能产生大量待验证结果，若验证人力不足，反而增加负担。同时，依赖外部LLM API时需注意代码隐私和合规风险。

这条内容的信息差在于：多数团队仍将AI用于代码生成，而忽略了其在安全漏洞发现与修复中的系统化应用。它揭示了当前安全领域的一个关键变化——发现不再是瓶颈，验证与处理才是。这提示我们，AI在安全领域的应用重心应从“发现更多”转向“更快验证与修复”。 业务启发：对于SaaS安全服务商，可以围绕“AI辅助验证”构建新产品；对于企业内部安全团队，可将LLM集成到CI/CD管道，实现自动化安全审计，同时建立威胁模型知识库来持续提升准确率。 可沉淀动作：1）将六步循环编写为可复用的SOP模板；2）整理Claude Opus在威胁建模中的提示词库；3）基于开源项目扫描数据集，建立内部漏洞验证基准；4）每周跟踪AI安全领域的最新实践，形成定期更新机制。

• Claude：Blog（网页） 原帖