阿里把内部在用的 AI 代码审计工具开源了。它不是让大模型替代规则，而是把确定性工程和 Agent 分工：文件筛选、定位、结果反思交给代码，只有需要判断的地方才交给模型。对比 Claude Code 处理 1000 个 PR，Token 成本只有 1/9。
Orchestrator 调度 Recon、Scan、Triage、Finding、Verification 五个 Agent，一条 Docker 命令部署，跑完直接给 CVE 申报级别的报告。
阿里把内部在用的 AI 代码审计工具开源了。它不是让大模型替代规则，而是把确定性工程和 Agent 分工：文件筛选、定位、结果反思交给代码，只有需要判断的地方才交给模型。对比 Claude Code 处理 1000 个 PR，Token 成本只有 1/9。
Orchestrator 调度 Recon、Scan、Triage、Finding、Verification 五个 Agent，一条 Docker 命令部署，跑完直接给 CVE 申报级别的报告。