DeepAudit

AI-Powered Intelligent Code Security Audit Platform

让安全审计像呼吸一样简单

🚀 快速开始 • ✨ 核心功能 • 🤖 Agent 审计 • 📚 文档 • 🤝 贡献

---

🎉 v3.0.0 新特性

🤖 Multi-Agent Orchestrator 编排决策 多智能体自主协作

🧠 RAG 增强 代码语义理解 CWE/CVE 知识库检索

🔒 沙箱验证 Docker 安全容器 自动 PoC 验证

🛠️ 工具集成 Semgrep • Bandit Gitleaks • OSV-Scanner

---

💡 为什么需要 DeepAudit？

你是否也有这样的困扰？

😫 痛点	💡 DeepAudit 解决方案
人工审计跟不上代码迭代速度	Multi-Agent 自主审计，AI 自动编排审计策略
传统工具误报率高，每天都在清理噪音	RAG 知识库增强，代码语义理解大幅降低误报
担心源码泄露给云端 AI	支持 Ollama 本地部署，代码数据不出内网
外包项目不知道藏了多少雷	沙箱 PoC 验证，确认漏洞真实可利用

---

📸 界面预览

🤖 Agent 审计入口

首页快速进入 Multi-Agent 深度审计

📋 审计流日志 实时查看 Agent 思考与执行过程	🎛️ 智能仪表盘 一眼掌握项目安全态势
⚡ 即时分析 粘贴代码 / 上传文件，秒出结果	🗂️ 项目管理 GitHub/GitLab 导入，多项目协同管理

📊 专业报告

一键导出 PDF / Markdown / JSON（图中为快速模式，非Agent模式报告）

👉 查看Agent审计完整报告示例

---

🚀 快速开始

📦 Docker Compose 一键部署（推荐）

# 1️⃣ 克隆项目
git clone https://github.com/lintsinghua/DeepAudit.git && cd DeepAudit

# 2️⃣ 配置 LLM API Key
cp backend/env.example backend/.env
# 编辑 backend/.env，填入你的 API Key

# 3️⃣ 构建沙箱镜像（Agent 漏洞验证必须）
cd docker/sandbox && chmod +x build.sh && ./build.sh && cd ../..

# 4️⃣ 启动所有服务
docker compose up -d

🎉 完成！ 访问 http://localhost:3000 开始体验（包含 Multi-Agent 审计能力）

🔑 演示账户

📧 邮箱	🔑 密码
demo@example.com	demo123

⚠️ 生产环境请务必删除演示账户或修改密码！

📖 更多部署方式（本地开发、生产环境配置）

查看 部署指南 了解：

• 本地开发环境搭建
• 生产环境配置
• HTTPS 配置
• 反向代理设置
• 环境变量详解

---

✨ 核心功能

🤖 Multi-Agent 智能审计 自主编排、深度分析、自动验证 Orchestrator Agent — 统筹编排，制定审计策略 Recon Agent — 信息收集，识别技术栈和入口点 Analysis Agent — 深度分析，挖掘潜在安全漏洞 Verification Agent — 沙箱验证，确认漏洞有效性 🧠 RAG 知识库增强 超越简单关键词匹配 Tree-sitter AST 智能代码分块 ChromaDB 向量数据库 CWE / CVE 漏洞知识库集成 多语言支持：Python, JS, TS, Java, Go, PHP, Rust 🔒 安全沙箱验证 Docker 隔离环境执行 PoC 资源限制（CPU / Memory） 网络隔离 seccomp 安全策略 自动生成并执行 PoC 代码

🛠️ 专业安全工具集成 工具 功能 Semgrep 多语言静态分析 Bandit Python 安全扫描 Gitleaks 密钥泄露检测 TruffleHog 深度密钥扫描 OSV-Scanner 依赖漏洞扫描 npm audit Node.js 依赖审计 Safety Python 依赖审计 🎯 What-Why-How 三步修复 What — 精准定位问题所在 Why — 解释为什么这是个问题 How — 给出可直接使用的修复建议 📊 可视化报告 智能安全评分 漏洞趋势分析 一键导出 PDF / JSON

---

🤖 Multi-Agent 智能审计

架构概览

支持的漏洞类型

漏洞类型 描述 sql_injection SQL 注入 xss 跨站脚本攻击 command_injection 命令注入 path_traversal 路径遍历 ssrf 服务端请求伪造 xxe XML 外部实体注入

漏洞类型 描述 insecure_deserialization 不安全反序列化 hardcoded_secret 硬编码密钥 weak_crypto 弱加密算法 authentication_bypass 认证绕过 authorization_bypass 授权绕过 idor 不安全直接对象引用

📖 详细文档请查看 Agent 审计指南

---

🔌 支持的 LLM 平台

🌍 国际平台 OpenAI GPT-4o / GPT-4 Claude 3.5 Sonnet / Opus Google Gemini Pro DeepSeek V3

🇨🇳 国内平台 通义千问 Qwen 智谱 GLM-4 Moonshot Kimi 文心一言 · MiniMax · 豆包

🏠 本地部署 Ollama Llama3 · Qwen2.5 · CodeLlama DeepSeek-Coder · Codestral 代码不出内网

💡 支持 API 中转站，解决网络访问问题 | 详细配置 → LLM 平台支持

---

🎯 功能矩阵

功能	说明	模式
🤖 Agent 深度审计	Multi-Agent 协作，自主编排审计策略	Agent
🧠 RAG 知识增强	代码语义理解，CWE/CVE 知识库检索	Agent
🔒 沙箱 PoC 验证	Docker 隔离执行，验证漏洞有效性	Agent
🗂️ 项目管理	GitHub/GitLab 导入，ZIP 上传，10+ 语言支持	通用
⚡ 即时分析	代码片段秒级分析，粘贴即用	通用
🔍 五维检测	Bug · 安全 · 性能 · 风格 · 可维护性	通用
💡 What-Why-How	精准定位 + 原因解释 + 修复建议	通用
📋 审计规则	内置 OWASP Top 10，支持自定义规则集	通用
📝 提示词模板	可视化管理，支持中英文双语	通用
📊 报告导出	PDF / Markdown / JSON 一键导出	通用
⚙️ 运行时配置	浏览器配置 LLM，无需重启服务	通用

---

🗺️ 未来蓝图

✅ 已完成 (v3.0.0)

• Multi-Agent 协作架构（Orchestrator/Recon/Analysis/Verification）
• RAG 知识库（代码语义 + CWE/CVE）
• Docker 沙箱 PoC 验证
• 专业安全工具集成

🚧 开发中

• CI/CD 集成 — GitHub Actions / GitLab CI 流水线自动审计
• 自动补丁生成 — 基于漏洞分析自动生成修复代码
• 跨文件分析 — 代码知识图谱，理解模块间调用关系

📋 计划中

• 混合分析 — AI + 传统 SAST 联合验证，减少误报漏报
• IDE 插件 — VS Code / JetBrains 集成
• 多仓库支持 — Gitea, Bitbucket, GitLab Self-hosted

---

📚 文档

文档	说明
📘 部署指南	Docker 部署、本地开发、生产配置
🤖 Agent 审计	Multi-Agent 模块详解
⚙️ 配置说明	后端配置、审计规则、提示词模板
🔌 LLM 平台	各家 LLM 配置方法和 API Key 获取
🛠️ 安全工具	安全扫描工具本地安装指南
❓ 常见问题	遇到问题先看这里
📜 更新日志	版本更新记录
👥 贡献指南	参与开发

---

🏗️ 技术栈

🖥️ 前端 React 18 + TypeScript 5.7 Vite 构建工具 TailwindCSS + 自定义 Cyberpunk 主题 Zustand 状态管理 React Query 数据获取

⚙️ 后端 FastAPI + Python 3.13 PostgreSQL 数据存储 ChromaDB 向量数据库 Docker 沙箱容器 SSE 实时事件流

---

🤝 贡献

开源项目离不开社区的支持！无论是提 Issue、PR，还是分享使用心得，都非常欢迎 🙌

💬 想和我一起让工具变得更好？欢迎联系我，一起为开源做贡献！

---

🙏 致谢

DeepAudit 的诞生离不开以下优秀开源项目的支持与启发，在此表示衷心感谢！

🏗️ 架构参考

项目	说明	License
Strix	Multi-Agent 安全审计架构参考，提供了 Agent 协作编排的优秀设计思路	MIT

🔧 集成工具

项目	说明	License
Kunlun-M (昆仑镜)	PHP/JS 静态代码安全审计工具，集成为 Agent 分析工具之一	MIT
Semgrep	多语言静态分析引擎，支持自定义规则	LGPL-2.1
Bandit	Python 安全漏洞扫描工具	Apache-2.0
Gitleaks	Git 仓库密钥泄露检测工具	MIT
TruffleHog	深度密钥和凭证扫描器	AGPL-3.0
OSV-Scanner	Google 开源的依赖漏洞扫描器	Apache-2.0

🧠 核心依赖

项目	说明	License
LangChain	LLM 应用开发框架	MIT
LangGraph	Agent 状态图工作流引擎	MIT
LiteLLM	统一多 LLM 平台调用接口	MIT
ChromaDB	轻量级向量数据库	Apache-2.0
Tree-sitter	增量解析库，用于代码 AST 分析	MIT
FastAPI	高性能 Python Web 框架	MIT
React	用户界面构建库	MIT

💡 感谢所有开源贡献者的无私奉献，让我们能站在巨人的肩膀上构建更好的工具！

---

📞 联系我们

🌐 项目主页	github.com/lintsinghua/DeepAudit
🐛 问题反馈	Issues
📧 作者邮箱	lintsinghua@qq.com

---

⭐ 如果这个项目对你有帮助，请给我们一个 Star！

你的支持是我们持续迭代的最大动力 💪

---

⚠️ 使用前请阅读 安全政策 和 免责声明

Made with ❤️ by lintsinghua