Knostic 的开源项目 OpenAnt 近日更新，试图解决 AI 扫漏洞的老毛病：报告写得头头是道，却未必真能被利用。OpenAnt 不只做静态分析或让大模型通读代码，而是分两阶段走：先发现可疑漏洞，再用对抗验证与动态测试去证明它是否成立，从而减少误报。

它的流水线结合了代码分解、可达性分析、大模型推理、对抗验证与动态测试，并在 OpenSSL、WordPress、Flowise 等项目上做过评估。项目以 Apache 2.0 协议开源，开发者与安全研究人员可以直接查看、改动这套方法。对每天被扫描报告淹没的安全团队来说，“可证明可利用”比“疑似有问题”要值钱得多。

当然，工具再智能也不能替代修复：它能做的是把有限的人力集中到真正危险的发现上。如果你维护开源项目，不妨把这类可验证的扫描纳入常规流程，而不是只看扫描器给出的数量。

消息来源

Undercode News：https://undercodenews.com/openant-just-updated-the-open-source-ai-security-tool-that-tries-to-prove-vulnerabilities-are-real-video/