app-safe

关于

用 AI 写代码已经很普遍了，但 AI 写的代码到底有多少安全漏洞？这些漏洞有没有规律可循？能不能沉淀成一套可复用的安全测试提示词？ app-safe 就是为了回答这个问题做的。它让两个 Claude Code 线程互为对手，自动进行"写代码 → 攻代码 → 修漏洞 → 再攻击"的循环对抗，把 AI 代码中暴露出的安全漏洞逐个记录、归纳，最终沉淀成一个安全测试 prompt 库。 核心设计 Builder（建造者）：像普通人用 AI 快速写业务代码一样，自然地写、加功能、迭代。不做刻意安全加固，让漏洞自然暴露。收到攻击报告后才针对性修复。 Attacker（攻击者）：黑盒安全测试者，只能读接口文档 + 打运行中的服务，禁止读源码。完全模拟"外部攻击者只拿到 API"的真实场景。 文件系统握手：双方不直接对话，通过 arena/ 目录下的文件交换信息——接口清单、攻击报告、漏洞知识库、轮次状态。 漏洞知识库：每个被证实的漏洞记录为一个 VULN-XXX.md，包含漏洞类型、严重级别、复现步骤、影响评估，以及最重要的——一段可复用的安全测试提示词（attackprompt），让任何测试者都能用同样的思路命中这类问题。 一轮怎么走 1. Builder 构建/迭代应用，发布接口文档 → 2. Attacker 读接口文档，对运行中的服务做端到端攻击，写攻击报告 + 漏洞记录 → 3. Builder 读报告，修复漏洞，迭代到下一轮 → 4. 循环往复，直到某一轮 Attacker 找不到漏洞或达到约定轮数 为什么有意思 自动化红蓝对抗：不需要组织人来打 CTF，两个 AI 线程自己就能跑攻防循环 真正的黑盒：Attacker 完全看不到源码，复现真实攻击场景 产出可复用：每轮发现的漏洞都抽象成测试提示词，积累下来就是一份 AI 代码安全测试清单 观察 AI 修漏洞能力：Builder 修复后 Attacker 再攻击，能观察 AI 是否真正修好了、还是引入了新问题 技术栈 Node.js 应用，目标服务跑在

收录记录

1. 阮一峰周刊·用户投稿

   2026年8月16日 · 1 次收录