前言

項(xiàng)目規(guī)模小時(shí)，開發(fā)者還能通過逐文件閱讀完成一次代碼檢查。隨著接口、權(quán)限、數(shù)據(jù)庫操作和第三方依賴不斷增加，很多安全問題已經(jīng)不再藏在某一行代碼里，而是分散在多個(gè)方法和調(diào)用鏈之間。

例如，入口參數(shù)看起來做了校驗(yàn)，但真正執(zhí)行數(shù)據(jù)庫查詢的函數(shù)可能繞過了限制；某個(gè)接口表面上需要登錄，關(guān)聯(lián)的資源操作卻缺少權(quán)限判斷。只依賴關(guān)鍵詞搜索或單文件檢查，很容易忽略這些跨模塊關(guān)系。

DeepAudit提供了一種AI輔助審計(jì)方式。它會(huì)先識(shí)別項(xiàng)目結(jié)構(gòu)、技術(shù)棧和潛在攻擊面，再由多個(gè)Agent分工分析代碼、生成驗(yàn)證腳本，并嘗試在隔離環(huán)境中確認(rèn)問題是否真實(shí)存在。

本文會(huì)通過Docker Compose部署DeepAudit，完成大語言模型和嵌入模型配置，再分別演示完整項(xiàng)目的Agent智能審計(jì)、快速掃描，以及用于檢查單段代碼的即時(shí)分析功能。

本地審計(jì)流程跑通后，還會(huì)使用 cpolar 將前端服務(wù)的3000端口映射到公網(wǎng)，并配置固定二級(jí)子域名。這樣不在部署電腦旁時(shí)，也能繼續(xù)查看任務(wù)進(jìn)度、審計(jì)結(jié)果和導(dǎo)出的報(bào)告。

1 DeepAudit是什么？

DeepAudit 是國內(nèi)首個(gè)開源的代碼漏洞挖掘多智能體系統(tǒng)，它基于 Multi-Agent 協(xié)作架構(gòu)，通過四個(gè)智能體的自主協(xié)作，實(shí)現(xiàn)對(duì)代碼的深度理解、漏洞挖掘和自動(dòng)化沙箱 PoC 驗(yàn)證。用戶只需導(dǎo)入項(xiàng)目，DeepAudit 便全自動(dòng)開始工作：識(shí)別技術(shù)棧 → 分析潛在風(fēng)險(xiǎn) → 生成腳本 → 沙箱驗(yàn)證 → 生成報(bào)告，最終輸出一份專業(yè)審計(jì)報(bào)告。

• Orchestrator（總指揮）：接收審計(jì)任務(wù)，分析項(xiàng)目類型，制定審計(jì)計(jì)劃，協(xié)調(diào)其他 Agent 工作
• Recon Agent（偵察兵）：掃描項(xiàng)目結(jié)構(gòu)，識(shí)別框架、庫和 API，提取攻擊面
• Analysis Agent（分析師）：結(jié)合 RAG 知識(shí)庫與 AST 分析，深度審查代碼，發(fā)現(xiàn)潛在漏洞
• Verification Agent（驗(yàn)證者）：編寫 PoC 腳本，在 Docker 沙箱中執(zhí)行，驗(yàn)證漏洞是否真實(shí)可利用

簡單來說，DeepAudit 就像是一個(gè) 24 小時(shí)待命的安全專家團(tuán)隊(duì)，幫你把代碼審計(jì)這件苦差事變得高效、精準(zhǔn)、自動(dòng)化。

2 Docker一鍵部署DeepAudit

本教程以 Windows 系統(tǒng)為例，演示如何在 Docker 環(huán)境中部署 DeepAudit。如果還沒有安裝Docker的小伙伴，可以去cpolar官網(wǎng)查看**《Docker安裝——Linux、Windows、MacOS》**這篇文章進(jìn)行安裝一下哦。

首先，電腦按住 Win + R 鍵，打開運(yùn)行窗口，輸入 cmd 并回車，打開命令提示符。然后在命令提示符中輸入以下命令，一鍵部署 DeepAudit：

curl -fsSL https://raw.githubusercontent.com/lintsinghua/DeepAudit/v3.0.0/docker-compose.prod.yml | docker compose -f - up -d

接著輸入如下命令，查看 DeepAudit 容器是否啟動(dòng)成功：

docker ps

如果看到類似上面的輸出，說明 DeepAudit 已經(jīng)成功啟動(dòng)了！這里包含了 4 個(gè)容器：

• admin-frontend-1：前端服務(wù)，運(yùn)行在 3000 端口
• admin-backend-1：后端 API 服務(wù)，運(yùn)行在 8000 端口
• admin-redis-1：Redis 數(shù)據(jù)庫，用于緩存和隊(duì)列
• admin-db-1：PostgreSQL 數(shù)據(jù)庫，用于存儲(chǔ)審計(jì)數(shù)據(jù)

現(xiàn)在，打開瀏覽器，訪問如下地址：

http://localhost:3000

可以看到，DeepAudit 的登錄頁面已經(jīng)成功顯示出來了！

3 配置DeepAudit

3.1 LLM模型配置

注冊(cè)一個(gè)賬號(hào)，并且登錄DeepAudit，即可進(jìn)入主界面。

接著來到系統(tǒng)管理，在系統(tǒng)配置項(xiàng)可以看到如下頁面：

接著選擇LLM提供商，這里以通義千問為例，因?yàn)榘⒗镌瓢贌捜绻切掠脩?，享有每個(gè)模型百萬Tokens,可以在如下頁面查看免費(fèi)額度剩余量和模型Code等，記得開啟免費(fèi)額度用完即停即可，頁面地址：

https://bailian.console.aliyun.com/?tab=model#/model-usage/free-quota?modelType=Text

由于我這里的qwen-plus模型額度用完了，演示將使用qwen-max來進(jìn)行演示，在選擇LLM提供商中選擇通義千問，然后模型名稱填寫qwen-max模型：

接著獲取阿里云百煉的API Key，點(diǎn)擊頁面左下角的密鑰管理菜單：

進(jìn)入到密鑰管理后，點(diǎn)擊創(chuàng)建按鈕進(jìn)行創(chuàng)建即可，創(chuàng)建后即可復(fù)制API key密鑰：

將復(fù)制的密鑰填寫到API key中，點(diǎn)擊測試按鈕，出現(xiàn)連接成功即代表配置成功：

連接成功后，點(diǎn)擊底部的保存所有更改按鈕即可！

3.2 嵌入模型配置

前面已經(jīng)配置好了LLM模型，接著切換到嵌入模型頁面，然后在模型提供商選擇Qwen，模型選擇預(yù)設(shè)v4版本的模型即可，填寫前面復(fù)制下來的API key密鑰，點(diǎn)擊測試：

接著點(diǎn)擊底部的保存配置和保存所有更改按鈕即可，這樣就配置完成啦！

4 使用DeepAudit進(jìn)行AI代碼審查

配置好 LLM 模型后，我們就可以開始使用 DeepAudit 進(jìn)行代碼審查了。DeepAudit 提供了兩種主要的使用方式：項(xiàng)目管理和即時(shí)分析。

4.1 創(chuàng)建項(xiàng)目

首先，在左側(cè)導(dǎo)航欄點(diǎn)擊"項(xiàng)目管理"，進(jìn)入項(xiàng)目列表頁面。如果是第一次使用，頁面會(huì)提示"未初始化項(xiàng)目"，點(diǎn)擊"新建項(xiàng)目"按鈕。

在彈出的對(duì)話框中，你可以選擇兩種導(dǎo)入方式：

方式一：Git 倉庫導(dǎo)入

• 倉庫類型：支持 GitHub、GitLab、等
• 倉庫地址：填寫你的 Git 倉庫 URL
• 默認(rèn)分支：通常為 main 或 master
• 技術(shù)棧：選擇項(xiàng)目使用的編程語言（JavaScript、TypeScript、Python、Java、Go 等）

方式二：上傳源碼

• 直接上傳 ZIP 壓縮包
• 適合本地項(xiàng)目或私有倉庫

填寫完項(xiàng)目信息后，點(diǎn)擊"執(zhí)行創(chuàng)建"，DeepAudit 會(huì)自動(dòng)拉取代碼并初始化項(xiàng)目。

這里以上傳源碼為例，用一個(gè)幾年前寫的一個(gè)Java的SpringBoot項(xiàng)目為例，填寫完成相關(guān)信息，上傳源碼進(jìn)行執(zhí)行創(chuàng)建：

創(chuàng)建完成后，即可在項(xiàng)目管理頁面查看，創(chuàng)建好的項(xiàng)目：

4.2 Agent 智能審計(jì)

項(xiàng)目創(chuàng)建完成后，點(diǎn)擊項(xiàng)目下方的"審計(jì)"按鈕，進(jìn)入審計(jì)任務(wù)頁面。這里有兩種審計(jì)模式：

Agent 智能審計(jì)

• LLM 驅(qū)動(dòng)的多 Agent 協(xié)同深度審計(jì)
• 支持智能漏洞挖掘與驗(yàn)證
• 適合需要深度分析的場景

快速掃描

• 傳統(tǒng)規(guī)則引擎驅(qū)動(dòng)的快速代碼掃描
• 適合大規(guī)模批量檢測
• 速度更快，但深度略淺

這里以Agent 審計(jì) 模式舉例，選中要審計(jì)的項(xiàng)目，然后選擇審計(jì)模式，點(diǎn)擊下方的啟動(dòng)Agent 審計(jì)按鈕：

啟動(dòng)后，即可看到項(xiàng)目正在進(jìn)行索引和嵌入，然后進(jìn)行編排審計(jì)流程：

在側(cè)面的AGENT TREE中可以看到 Multi-Agent 協(xié)作流程：

1. Orchestrator 分析項(xiàng)目，制定審計(jì)策略
2. Recon Agent 掃描項(xiàng)目結(jié)構(gòu)，識(shí)別技術(shù)棧和攻擊面
3. Analysis Agent 深度分析代碼，發(fā)現(xiàn)潛在漏洞
4. Verification Agent 在沙箱中驗(yàn)證漏洞真實(shí)性

在審計(jì)過程中，你可以實(shí)時(shí)查看審計(jì)進(jìn)度、已分析的文件數(shù)、發(fā)現(xiàn)的問題數(shù)量等信息。

可以看到，AGENT審計(jì) 模式，會(huì)進(jìn)行跨方法聯(lián)合審計(jì)。如上圖就是在注冊(cè)方法中有調(diào)用相關(guān)校驗(yàn)方法，AGENT審計(jì)會(huì)根據(jù)邏輯關(guān)系，去查看校驗(yàn)方法是否存在問題。

4.3 查看審計(jì)報(bào)告

審計(jì)完成后，底部會(huì)有輸出成功的日志提示，也可以點(diǎn)擊右上角EXPORT按鈕進(jìn)行導(dǎo)出報(bào)告：

點(diǎn)擊EXPORT按鈕后，可以將審計(jì)報(bào)告導(dǎo)出為 Markdown 或 JSON 以及HTML格式，方便分享和存檔:

如下為導(dǎo)出為HTML格式的報(bào)告預(yù)覽：

查看一下提到的高危漏洞等相關(guān)問題：

可以看到給出了漏洞描述，還有關(guān)鍵的代碼位置，以及修復(fù)的建議，還是很不錯(cuò)的！

4.4 即時(shí)分析

除了項(xiàng)目管理，DeepAudit 還提供了"即時(shí)分析"功能，適合快速檢查代碼片段。

點(diǎn)擊左側(cè)導(dǎo)航欄的"即時(shí)分析"，進(jìn)入即時(shí)分析頁面：

1. 選擇編程語言：從下拉菜單選擇代碼的語言（JavaScript、Python、Java 等）
2. 輸入代碼：直接粘貼代碼或點(diǎn)擊"上傳文件"按鈕
3. 選擇提示詞模板：可以使用默認(rèn)的"默認(rèn)代碼審計(jì)"模板
4. 開始分析：點(diǎn)擊"開始分析"按鈕

幾秒鐘后，DeepAudit 就會(huì)返回分析結(jié)果，包括：

• 發(fā)現(xiàn)的問題列表
• 每個(gè)問題的嚴(yán)重程度
• 詳細(xì)的修復(fù)建議
• 代碼片段高亮顯示

即時(shí)分析非常適合：

• 快速檢查可疑代碼片段
• 學(xué)習(xí)安全編碼規(guī)范
• 代碼審查前的預(yù)檢查

通過以上步驟，你已經(jīng)掌握了 DeepAudit 的基本使用方法。無論是完整項(xiàng)目的深度審計(jì)，還是代碼片段的快速檢查，DeepAudit 都能幫你高效地發(fā)現(xiàn)安全問題，讓代碼審計(jì)變得簡單、快速、精準(zhǔn)！

5 下載安裝cpolar

通過前面的步驟，你已經(jīng)成功在本地部署了 DeepAudit，并且能夠通過 http://localhost:3000 訪問它的界面。但問題來了：你在家里的臺(tái)式機(jī)上部署了 DeepAudit，在公司想訪問怎么辦？或者你在公司電腦上啟動(dòng)了審計(jì)，回家想查看進(jìn)度怎么辦？

本地部署的 DeepAudit 就像一個(gè)"孤島"，只有部署它的那臺(tái)電腦能訪問，其他設(shè)備想用都進(jìn)不來。遠(yuǎn)程辦公受限、多設(shè)備無法訪問……這些問題讓 DeepAudit 的價(jià)值大打折扣。

這時(shí)候，cpolar 內(nèi)網(wǎng)穿透 就派上用場了！它是一款輕量級(jí)隧道轉(zhuǎn)發(fā)工具，能夠?qū)⒈镜剡\(yùn)行的服務(wù)安全地暴露至公網(wǎng)，實(shí)現(xiàn)無需公網(wǎng) IP、無需復(fù)雜路由配置，就能隨時(shí)隨地訪問你的 DeepAudit。

接下來，我將帶你一步步安裝并配置 cpolar，讓 DeepAudit 真正實(shí)現(xiàn)"隨時(shí)隨地，想審就審"！

5.1 什么是cpolar?

• cpolar 是一款內(nèi)網(wǎng)穿透工具，可以將你在局域網(wǎng)內(nèi)運(yùn)行的服務(wù)（如本地 Web 服務(wù)器、SSH、遠(yuǎn)程桌面等）通過一條安全加密的中間隧道映射至公網(wǎng)，讓外部設(shè)備無需配置路由器即可訪問。
• 廣泛支持 Windows、macOS、Linux、樹莓派、群暉 NAS 等平臺(tái)，并提供一鍵安裝腳本方便部署。

5.2 下載cpolar

打開cpolar官網(wǎng)的下載頁面，點(diǎn)擊立即下載 64-bit按鈕,下載cpoalr的安裝包:

下來下來是一個(gè)壓縮包,解壓后執(zhí)行目錄種的應(yīng)用程序,一路默認(rèn)安裝即可,安裝完成后,打開cmd窗口輸入如下命令確認(rèn)安裝:

cpolar version

出現(xiàn)如上版本即代表安裝成功!

5.3 注冊(cè)及登錄cpolar web ui管理界面

訪問cpolar官網(wǎng)，點(diǎn)擊免費(fèi)注冊(cè)按鈕，進(jìn)行賬號(hào)注冊(cè)

進(jìn)入到如下的注冊(cè)頁面進(jìn)行賬號(hào)注冊(cè)：

注冊(cè)完成后,在瀏覽器中輸入如下地址訪問 web ui管理界面:

http://127.0.0.1:9200

輸入剛才注冊(cè)好的cpolar賬號(hào)登錄即可進(jìn)入后臺(tái)頁面:

6 穿透DeepAudit實(shí)現(xiàn)公網(wǎng)訪問

點(diǎn)擊左側(cè)菜單欄的隧道管理，展開進(jìn)入隧道列表頁面，頁面下默認(rèn)會(huì)有 2 個(gè)隧道：

• remoteDesktop隧道，指向3389端口，tcp協(xié)議
• website隧道，指向8080端口，http協(xié)議（http協(xié)議默認(rèn)會(huì)生成2個(gè)公網(wǎng)地址，一個(gè)是http，另一個(gè)https，免去配置ssl證書的繁瑣步驟）

點(diǎn)擊編輯website的隧道，修改成我們DeepAudit需要的信息：

接著，點(diǎn)擊左側(cè)菜單的狀態(tài)菜單，接著點(diǎn)擊在線隧道列表菜單按鈕，可以看到有2個(gè)deepaudit的隧道，一個(gè)為http協(xié)議,另一個(gè)為https協(xié)議:

注意：每個(gè)用戶創(chuàng)建的隧道顯示的公網(wǎng)地址都不一樣！

接下來在瀏覽器中訪問deepaudit隧道生成的公網(wǎng)地址（http和https皆可），這里以https為例：

可以看到成功訪問到DeepAudit的登錄界面啦！

7 固定二級(jí)子域名

通過前面的配置，我們已經(jīng)成功實(shí)現(xiàn)了DeepAudit的遠(yuǎn)程訪問，但免費(fèi)隨機(jī)域名方案的局限性也逐漸顯現(xiàn)：每24小時(shí)左右自動(dòng)更換域名地址，意味著你需要頻繁更新書簽、重新分享鏈接，甚至可能因?yàn)橥浉露鵁o法訪問。固定域名方案正是為了解決這些痛點(diǎn)而生，能夠讓你擁有一個(gè)永久不變的專屬地址。

好啦，接下來開始固定保留二級(jí)子域名教程！

首先，進(jìn)入官網(wǎng)的預(yù)留頁面:

https://dashboard.cpolar.com/reserved

選擇預(yù)留菜單，即可看到保留二級(jí)子域名項(xiàng)，填寫其中的地區(qū)、名稱、描述（可不填）項(xiàng)，然后點(diǎn)擊保留按鈕，操作步驟圖如下：

可以看到列表中顯示了一條已保留的二級(jí)子域名記錄：

• 地區(qū)：顯示為China Top。
• 二級(jí)域名：顯示為deepaudit。

注：二級(jí)域名是唯一的，每個(gè)賬號(hào)都不相同，請(qǐng)以自己設(shè)置的二級(jí)域名保留的為主

接著，進(jìn)入側(cè)邊菜單欄的隧道管理下的隧道列表，可以看到名為deepaudit的隧道，點(diǎn)擊編輯按鈕進(jìn)入編輯頁面：

修改域名類型為二級(jí)子域名，然后填寫前面配置好的子域名，點(diǎn)擊更新按鈕：

接著，來到狀態(tài)菜單下的在線隧道列表可以看到隧道名稱為deepaudit的公網(wǎng)地址已經(jīng)變更為二級(jí)子域名+固定域名主體及后綴的形式了：

這里以https協(xié)議做訪問測試:

訪問成功，讓我們?cè)龠M(jìn)行登錄測試一下：

成功登錄啦，現(xiàn)在無論你在哪里，只要能上網(wǎng)，就能隨時(shí)訪問你的 DeepAudit 了！

總結(jié)

完成部署后，DeepAudit可以承擔(dān)代碼安全檢查中的第一輪篩查工作。它能夠快速梳理項(xiàng)目結(jié)構(gòu)、定位可疑代碼，并將問題位置、風(fēng)險(xiǎn)說明和修復(fù)建議集中到審計(jì)報(bào)告中。

Agent智能審計(jì)更適合需要分析調(diào)用關(guān)系、業(yè)務(wù)邏輯和潛在利用路徑的項(xiàng)目，快速掃描則適合在提交代碼或批量檢查時(shí)先發(fā)現(xiàn)常見問題。即時(shí)分析可以用來檢查單個(gè)接口、工具函數(shù)或準(zhǔn)備合并的代碼片段。

但AI審計(jì)結(jié)果不能直接等同于最終安全結(jié)論。模型可能產(chǎn)生誤報(bào)，也可能因?yàn)樯舷挛牟蛔愣┑魳I(yè)務(wù)層漏洞。高危問題需要開發(fā)人員重新核對(duì)代碼，并結(jié)合單元測試、依賴掃描、動(dòng)態(tài)測試和人工滲透驗(yàn)證。

通過 cpolar 映射3000端口后，DeepAudit可以在其他設(shè)備上訪問。隨機(jī)域名適合臨時(shí)查看，固定二級(jí)子域名更適合長期使用，但代碼審計(jì)平臺(tái)中通常包含源碼、漏洞信息和模型配置，不能作為普通公開頁面分享。

公網(wǎng)開放時(shí)應(yīng)啟用強(qiáng)密碼和額外訪問控制，限制可訪問人員，并妥善保護(hù)大模型API Key、私有倉庫憑據(jù)和審計(jì)報(bào)告。不再需要遠(yuǎn)程訪問時(shí)，應(yīng)及時(shí)關(guān)閉隧道或收回相關(guān)賬號(hào)權(quán)限。

DeepAudit負(fù)責(zé)提高代碼檢查的覆蓋面和整理效率，cpolar負(fù)責(zé)補(bǔ)上遠(yuǎn)程訪問能力。更合理的定位不是讓AI取代安全人員，而是先幫助團(tuán)隊(duì)發(fā)現(xiàn)值得重點(diǎn)檢查的位置，把有限的人工精力集中到真正高風(fēng)險(xiǎn)的代碼和業(yè)務(wù)邏輯上。

到此這篇關(guān)于DeepAudit代碼審計(jì)工具怎么用？Docker部署與cpolar遠(yuǎn)程訪問教程的文章就介紹到這了,更多相關(guān)開源AI代碼審計(jì)系統(tǒng)DeepAudit內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評(píng)論