我构建了一个 CLI 智能体，使用对抗式 LLM 分析对 SAST 发现的问题进行分诊（开源）

传统 SAST 工具会用海量误报淹没你，而把整个代码仓库塞进 LLM 又慢又贵，还会很快触及上下文限制。​为了解决我自己工作流中的这个问题，我开发了 PuedoBot——一款命令行安全审计工具，使用确定性扫描来发现可疑代码，并采用两轮 LLM 流水线，其中第二轮会主动尝试推翻第一轮的发现。​流水线的工作方式：​确定性扫描：执行 AST 危险调用点遍历、Bandit 扫描、Semgrep 规则扫描、OSV.dev 依赖检查，以及 git 历史中的密钥扫描（自动脱敏）。​隔离：不发送整个代码库，而是仅提取被标记的代码片段，并将其封装为不可信输入，以防止恶意代码注释或字符串中的提示注入。​第一轮（侦察员）：追踪数据从来源到危险调用点的流向，检查是否缺少净化处理，并估算影响范围。​第二轮（辩护律师）：独立执行一轮分析，唯一任务就是反驳第一轮。它会寻找框架层面的防护、上游校验措施，或使告警成为误报的不可达代码路径。只有经受住这场辩论的发现才会呈现给你。​模型无关：你可以接入自己偏好的模型提供商（OpenAI、DeepSeek、Gemini、Anthropic、Groq、Mistral、OpenRouter，或通过 Ollama/vLLM/LM Studio 接入本地模型）。​这个仓库与我的个人版本有何区别：我正在以 Apache 2.0 许可证开源核心扫描和双轮研判引擎，让任何人都能用它检查自己的代码。坦诚说明：这些功能提取自一个规模更大的私有 CLI 版本，我仅将其用于自己的研究。我的个人版本还包含自主发现代码仓库的功能，并为每个仓库设置了 6 个月的冷却期，以免自动化噪声打扰开源维护者；此外还支持模型故障切换和负责任的漏洞披露工作流。出于安全考虑，我没有公开自主发现功能，但核心审计引擎已完全开源。​技术栈：Python 3.11+、FastAPI/uvicorn、PostgreSQL、Bandit、Semgrep（可选）、OSV.dev。