核心用法
SecureVibes Scanner 是一款 AI-native 的应用安全扫描工具，采用多智能体流水线架构，通过 Anthropic Claude 对代码库执行深度安全分析。用户通过 CLI 调用 securevibes scan <path> 启动扫描，系统依次执行评估→威胁建模→代码审查→报告生成→可选DAST五个阶段，全程约10-30分钟。
关键执行模式：必须使用 scripts/scan.sh 安全包装器，该脚本通过 realpath 解析路径并拦截 ; | & $ 等 shell 元字符，防止命令注入。扫描目标仅限本地目录，远程仓库需先克隆。对于 OpenClaw 等自动化平台，推荐以 cron 或 subagent 形式后台执行，设置45分钟超时。
常用参数映射：--subagent 可单阶段运行（如仅威胁建模），-m haiku 降本提速，-s high 过滤高危问题，--dast --target-url 开启动态测试，-f json 输出结构化数据。
显著优点
1. AI深度分析：Claude 驱动的代码审查超越传统 SAST 规则匹配，能理解业务逻辑上下文，发现复杂漏洞链
2. 完整安全工程闭环：从架构评估、STRIDE威胁建模到DAST验证，覆盖软件开发生命周期多环节
3. 灵活执行模式：支持完整流水线或单阶段执行，可恢复断点（--resume-from），适配 CI/CD 集成
4. 多格式输出：Markdown 可读报告、JSON 结构化数据、表格等格式满足人工审阅与自动化处理双重需求
潜在缺点与局限性
- 成本与耗时：完整扫描需 10-30 分钟且消耗 Claude API tokens，高频扫描成本显著
- 外部依赖强：强绑定 Anthropic API，网络波动或额度耗尽即中断服务
- 误报率未公开：AI 生成结论缺乏传统工具的规则透明度，需人工复核验证
- DAST 权限风险：动态测试主动向目标 URL 发送请求，误配置可能导致非授权测试
适合人群
- 需要快速获取代码安全基线的开发团队
- 缺乏专职安全工程师的中小型项目
- 希望将威胁建模自动化的 DevSecOps 实践者
- 已有传统 SAST/DAST 工具、寻求 AI 增强分析的补充场景
常规风险
1. API 密钥泄露：ANTHROPIC_API_KEY 需妥善保管，避免硬编码或日志泄露
2. 路径遍历与命令注入：虽包装器有防护，但直接调用 securevibes CLI 仍存在注入风险，须严格遵守安全规范
3. 扫描目标合规：确保对扫描代码和 DAST 目标拥有合法授权，避免触犯 CFAA 等法规
4. 结果误信风险：AI 生成内容可能出现"幻觉"，关键安全决策需结合人工审计与其他工具交叉验证