larlarua/AutoCVE
Agent-driven automated CVE discovery platform for source code auditing, vulnerability verification, and report generation.
Hızlı değerlendirme
Özet
AutoCVE, kaynak kodu üzerinde agent tabanlı güvenlik denetimi yapıp bulguları doğrulamayı ve CVE başvuru raporları üretmeyi amaçlayan bir platformdur.
Profiline uyum
AI agent ve React/PostgreSQL kullanımıyla örtüşse de proje, profilinizde bulunmayan güvenlik açığı araştırmasına odaklanıyor.
Neden yükseliyor
104 günde 1416 yıldıza ulaşmış olması ve README’de 14 projede bir haftada 30 güvenlik açığı bulup başvuruya sunduğu iddiası dikkat çekiyor. Ancak yıldızlar ve README’deki sonuç beyanı tek başına etkinliğin kalitesini veya tekrarlanabilirliğini kanıtlamaz; son 28 gündeki 4 commit ve 2 farklı yazar aktivitenin sınırlı olduğuna işaret ediyor.
Problem
Kaynak kodu güvenlik denetimi; proje seçimi, tarama, yanlış pozitiflerin ayıklanması, bulguların doğrulanması ve raporlanması gibi zaman alan aşamalardan oluşur.
Çözüm
FastAPI tabanlı backend ve React arayüzü üzerinden birden fazla agent’ı Orchestrator ile koordine eder; README’de Recon, Scan, Triage, Finding ve Verification aşamaları ile ReAct Loop ve rapor üretimi anlatılıyor.
Yenilik
Çok aşamalı agent iş akışını kaynak kodu denetimi, dinamik doğrulama ve CVE raporlamasına özel olarak birleştirmesi kullanışlı bir uygulama yaklaşımı; agent orkestrasyonu veya otomatik kod taraması tek başına yeni bir teknik değil.
Teknolojiler
- Python 3.11+
- FastAPI
- React 18
- PostgreSQL 15
- Docker Compose
- LLM agents
Riskler
- Otomatik bulgular yanlış pozitif içerebilir; CVE uygunluğu ve etki değerlendirmesi insan incelemesi gerektirir.
- README’deki 30 CVE ve 14 proje sonucu iddiaları etkileyici olsa da bağımsız doğrulama ve tekrarlanabilirlik ayrıca değerlendirilmelidir.
- Denetlenen kodu çalıştırmak veya araçlarla incelemek, özellikle güvenilmeyen depolarda, izole ortam ve dikkatli yetki sınırları gerektirir.
- LLM servislerinin maliyeti, veri gizliliği ve model sağlayıcısına bağımlılık kullanım kararını etkileyebilir.
- Son 28 gündeki düşük commit ve yazar sayısı, bakım sürekliliği açısından izlenmesi gereken bir işaret.
Detaylı değerlendirme
Bu repo için detaylı değerlendirme henüz yapılmadı. Analiz, Ayarlar'daki uyum profilini hesaba katarak "bu işime yarar mı" sorusunu cevaplıyor. Bir kez çalışır; günlük koşular buna dokunmaz. Saatlik sınır var — bir kaynaktan en fazla 3 analiz.