技能介绍

合规审计与漏洞上下文

安全验收常卡在两个问题上：一类是高危 API 调用需要快速定位，另一类是业务逻辑、跨文件数据流需要上下文判断。gbt-code-audit 面向 Java、C/C++、C#、Python 代码，把 GB/T 34943、GB/T 34944、GB/T 34946 与 GB/T 39412 作为漏洞定级和分类依据，生成可追溯的 Markdown 审计报告。它不只输出“疑似问题”，还要求每条发现包含代码片段、行号、严重等级、国标映射、问题描述和修复方案。

双引擎流程与边界

工作流分三层：quick_scan 用正则规则找高风险函数调用，生成 findings/baseline/*.md；LLM 读取上下文，判断 baseline 是有效还是误报，并把遗漏漏洞写入 findings/llm_audit/*.md，可多 agent 并行；最后 finalize_report 按 file:line:type 去重、校验格式和行号，输出 audit_report_*.md。检查范围覆盖命令执行、SQL 拼接、文件操作、弱加密、硬编码凭证、认证授权、状态转换、并发和内存安全。

适合项目验收、合规审查和代码质量评估，不适合作为唯一安全测试手段。它依赖源码可读、目录结构清晰，并对行号准确性要求较高；若代码混淆、缺少上下文或依赖私有协议，LLM 审计可能遗漏复杂漏洞，需要结合人工复核和动态测试。