为什么我说Gitee AI这一步棋，恰好踩在了SonarQube和GitHub Copilot都不敢碰的雷区
上周三凌晨两点，我盯着Jenkins的构建日志，第17次因为一个藏在依赖库里的fastjson反序列化漏洞把发布回滚。运维群里的消息已经爆炸，产品经理在问我「什么时候能上」，而我脑子里只有一个念头——如果这个漏洞在git push那一刻就被按死，我现在应该在床上而不是在机房里喝第四杯美式。 这不是一…
AI 安全与代码审查
我把Copilot Code Review焊进CI管道后，SQL注入连Pull Request的门都摸不到
上个月我翻安全扫描报告的时候，盯着那800多条未处理的高危告警发了十分钟呆。SAST工具跑了整整一夜，报出来的东西有一大半是误报——变量名叫userInput就报警，URL拼接字符串也报警，连单元测试里的Mock数据都不放过。安全团队催着我修，研发团队抱怨安全卡点太慢，我在中间像个人肉过滤器。那时候…
我从没想过，把代码补全工具塞进CI/CD管道会如此可怕——Amazon Q Developer 越狱实录
跳出代码补全的惯性思维，我把Amazon Q Developer嵌入了CI/CD管道，结果它在第一次扫描中揪出了一个潜伏7个月的S3权限漏洞。本文深入剖析Q在IaC安全审查、自然语言架构分析和自动化修复脚本生成中的真实表现，对比传统AI编程工具的差距，并分享企业落地时的成本控制与权限管理经验。
我造了一台对抗样本工厂，用1000张合成图捅穿了多模态模型的内容防线，然后又逼着自己把它补上
多模态大模型把图像和文本拼在一起交给LLM，让越狱攻击的门槛直线降低。我亲手造了一条自动化流水线，用1000个合成对抗样本把公司内部助手攻穿，再通过输入过滤、对抗微调与偏好对齐三管齐下，将越狱率从62%压到4%。这篇文章记录了从攻击模拟到加固防线的完整踩坑过程，适合关注AI安全的工程师。
我对着自家客服大模型狂轰滥炸了72小时，7种越狱手法全都打穿了防线
我针对自家客服大模型做了一次内部红队测试，用角色扮演、代码注入、多语言混淆等7种手法把防线全面打穿。文章从环境搭建、攻击复现、对齐缺陷分析，到输入过滤、NeMo Guardrails、输出审核和安全微调的四层防护升级，完整记录了从30%越狱成功率压到2%以下的过程，并给出了自动化红队测试的路线图。
我在VS Code 1.90里把AI审查调教成了一个偏执的安全门卫，但同事差点砸了键盘
我把VS Code 1.90的内置AI审查深度定制成团队的安全门卫：从零配置规则引擎检测长函数与代码异味，利用自定义prompt精准拦截SQL注入和XSS，再通过GitHub Actions实现PR自动审查与质量门禁。整个过程踩遍了文档缺失、误报爆炸、CI超时的坑，也摸索出一套用“漏洞错题本”降低误报、用规则频道和冷却期管理开发者噪声的推广方法。性能上，大型代码库实时延迟可控，但CI资源必须做并发限制。