用安全大模型扫描生产代码：Project Glasswing 的实战观察

#!/usr/bin/env python3
"""
security_llm_scan.py — 用安全大模型扫描代码文件的极简流水线
用法: python security_llm_scan.py /path/to/code
依赖: pip install openai pathlib
"""

import os
import sys
import json
from pathlib import Path
from openai import OpenAI

# ===== 配置区 =====
API_BASE = "https://your-model-endpoint.example.com/v1"  # 替换为实际端点
API_KEY  = os.getenv("SECURITY_LLM_KEY", "sk-xxxx")       # 建议用环境变量
MODEL    = "mythos-security-latest"                        # 替换为实际模型名
SCAN_DIR = sys.argv[1] if len(sys.argv) > 1 else "./src"

# 扫描的文件扩展名
TARGET_EXTENSIONS = {".py", ".js", ".ts", ".go", ".yaml", ".yml", ".tf"}

SECURITY_PROMPT = """\
你是一位安全审计工程师，正在审查以下代码文件。请完成：

1. 列出你发现的安全问题，每个问题包含：
   - 严重程度：critical / high / medium / low / info
   - 问题类型（如：hardcoded-secret, sql-injection, missing-auth 等）
   - 具体位置（行号或函数名）
   - 一句话描述
   - 修复建议

2. 如果文件没有安全问题，直接输出 "CLEAN"。

3. 不要虚构不存在的代码或调用关系。只基于你看到的代码做判断。

代码文件路径：{filepath}
代码内容：
{code}
"""

client = OpenAI(base_url=API_BASE, api_key=API_KEY)

def scan_file(filepath: Path) -> dict:
    code = filepath.read_text(errors="replace")
    if len(code) > 50000:  # 超长文件截断，避免超出 token 限制
        code = code[:50000] + "\n... [截断]"

    response = client.chat.completions.create(
        model=MODEL,
        messages=[
            {"role": "system", "content": "你只输出 JSON 格式的安全审计结果，不输出其他内容。"},
            {"role": "user", "content": SECURITY_PROMPT.format(filepath=str(filepath), code=code)},
        ],
        temperature=0.1,  # 低温度减少幻觉
        max_tokens=4096,
    )

    raw = response.choices[0].message.content.strip()
    try:
        result = json.loads(raw)
    except json.JSONDecodeError:
        result = {"raw_output": raw, "parse_error": True}

    result["file"] = str(filepath)
    result["tokens_used"] = response.usage.total_tokens
    return result

def main():
    scan_path = Path(SCAN_DIR)
    files = [f for f in scan_path.rglob("*") if f.suffix in TARGET_EXTENSIONS and f.is_file()]

    print(f"扫描目录: {scan_path} | 发现 {len(files)} 个目标文件")

    findings = []
    for f in files:
        print(f"  → {f.relative_to(scan_path)}")
        result = scan_file(f)
        if result.get("parse_error"):
            print(f"    ⚠ JSON 解析失败，原始输出需人工检查")
        elif result.get("issues"):
            critical = [i for i in result["issues"] if i.get("severity") in ("critical", "high")]
            print(f"    发现 {len(result['issues'])} 个问题，其中 {len(critical)} 个高严重度")
        else:
            print(f"    ✓ CLEAN")
        findings.append(result)

    # 汇总输出
    output_path = Path("security_scan_report.json")
    output_path.write_text(json.dumps(findings, indent=2, ensure_ascii=False))
    print(f"\n报告已写入: {output_path}")

    # 统计
    total_issues = sum(len(r.get("issues", [])) for r in findings)
    high_issues  = sum(
        len([i for i in r.get("issues", []) if i.get("severity") in ("critical", "high")])
        for r in findings
    )
    print(f"总计: {total_issues} 个问题，{high_issues} 个高严重度")

if __name__ == "__main__":
    main()

# 安装依赖
pip install openai

# 设置 API Key（不要硬编码到脚本里）
export SECURITY_LLM_KEY="sk-your-real-key"

# 扫描你的代码目录
python security_llm_scan.py ./my-project/src