标签
gohawk 是一款面向 Go 语言的工业级静态分析工具，专注于资源管理和并发问题检测，已用于发现并修复 Docker、Kubernetes 和 Caddy 中的真实 bug。
noalloc 是一个用 AI 编写的 Go 工具链，可通过 `//noalloc:root` 等指令检查函数调用树中的堆分配，并提供固定容量的零分配数据结构（含 JSON 编解码器）以帮助编写无堆分配代码。
该预印本提出 BIEvolve，通过契约引导的静态依赖分析与跨批次数值一致性动态验证，为 LLM 内核生成代理加入批不变性(BI)保障，将 BI 通过率从 67.6% 提升至 91.9%，同时保留 91.8% 的基线加速收益。
一篇 PyPy 博文介绍了一个玩具级的 bit provenance 抽象域，通过追踪 SSA 变量中每一位的来源来识别位操作序列中的等价关系，从而实现诸如 `result = a & c` 简化为 `result = a` 的优化，并在 Pydrofoil 和 PyPy 中进行了评估。
Tweede golf 与 Microsoft 在 Open Device Partnership 框架下合作发布了 Call Graph Analyzer（CGA），这是一款 Rust 工具，可从单态化的 MIR 中提取调用图，用于追踪已编译二进制文件中可能发生 panic 的函数，可通过 `cargo cga check` 运行。
作者分享了在一周内用 AI 辅助但不盲信 AI 的方法，安全删除约 19000 行编译器死代码的经验：先用静态分析界定范围，再让 LLM 标记 RED/BLUE 函数，并用独立的调用图工具交叉验证标记完整性，最终实现零回滚、零修复提交的清理。
一篇关于如何更信任 AI 编程 Agent 的实用指南，强调投入的"倒金字塔"原则：代码库改进、静态分析、文字指引，最后才是人工审查。文中提供了 Cursor 官方插件仓库的链接，用于安装对 Agent 友好的工具和工作流。
一篇深入的技术博客，介绍了 Valen 编程语言中一种新颖的逆向遍历借用检查器：它通过时间倒流的方式遍历函数来验证内存安全，同时可以有选择地放宽共享与可变互斥的规则。
Grok Bot 团队的 @poteto（Lauren）提出信任 AI Agent 成果的四层“倒金字塔”框架：把精力优先投入代码库改造与静态分析，而非规则文件与人工审查，主张通过工程化环境让 Agent 默认做对。
开源了 PuedoBot，一个基于确定性扫描和双轮大语言模型流水线的命令行安全审计工具，第二轮专门反驳第一轮的发现，以减少静态应用安全测试的误报。
Deslop 是一套面向 Oxlint 的开源插件规则集，用于拦截 AI 生成的 TypeScript 代码中常见的类型断言滥用、低信号测试等'slop'模式。
Meta/Facebook 开源了 Lifeguard，这是一个快速的静态分析器（目前处于 beta 阶段），能够检测与 PEP 810 Lazy Imports 不兼容的 Python 代码模式，帮助大型代码库安全地采用延迟模块加载，以降低启动时间和内存开销。
exhale 0.2.0 为 Ruby gem 新增 exhale complexity 功能，基于认知复杂度算法在 PR 中检测代理式 AI 逐步引入的代码复杂化，并给出可修复提示，而非仅对遗留代码设固定阈值。
本文提出了一种双向类型切片理论：选取一个项并查询其类型信息后，可得到一个足以解释该类型的最小程序切片。该元理论已用 Agda 形式化，并为 Hazel 编程环境实现了一个线性时间的近似算法。
exhale-ruby 是一个面向 Rails 的代码收敛工具箱，它能在拉取请求中检测重复代码，并引导编码智能体将重复副本折叠回已有代码中，其内置的 DRY 检查基于 Prism 和 Herb 构建。
一位独立开发者发布了 repopedia——一个 MIT 协议、完全本地运行的代码知识图谱工具。它使用 tree-sitter 从 Python/TypeScript 仓库构建 SQLite 图谱，并附带 MCP 服务器，让 Claude Code 等编程智能体可以直接查询调用图和爆炸半径影响范围，而不必依赖 grep。
tools4imps 发布了 exhale-ruby，一个专为 Rails 打造的代码收缩工具包。它在 Prism/Herb 之上整合了 dryer 和 flay，用于检测 AI 智能体引入的重复代码，并以 `exhale dry` 作为其首个 PR 检查关卡。它会将代码单元标准化，通过稀有指纹 Jaccard 加权算法计算相似度，并将发现的问题标记为「新引入」「发生位移」或「原本就存在」。
Benzi 是一个基于编译器的 AI 编码代理，采用确定性静态分析和代码索引，而非直接读取原始源代码。在 SWE-bench Verified 上报告达到 78.2%，每次修复成本低于 10 美分，且读取的 token 数量远少于 Claude Code、DeepSeek 的框架以及 OpenCode。
作者构建了jev-test-impact，这是一个工具，利用Git差异和静态依赖分析与Jev来评分并仅运行相关测试，旨在提高测试工作流中的回归召回率。