https://aries441.tech/tags/security/Recent content in Security on Aries441's Tech BlogHugozh-cnWed, 18 Mar 2026 00:00:00 +0800https://aries441.tech/posts/projects/accessguard-intro/Wed, 18 Mar 2026 00:00:00 +0800https://aries441.tech/posts/projects/accessguard-intro/<h2 id="痛点与背景">痛点与背景</h2> <p>传统的 SAST（静态应用安全测试）工具通常基于数据流分析，在处理复杂的业务逻辑漏洞（如越权访问 IDOR/BAC）时显得力不从心。特别是在 DevOps 平台（如 GitLab, Jenkins, Nacos 等）中，权限模型往往是矩阵式的（User/Group/Project），传统扫描器无法有效覆盖。</p> <h2 id="accessguard-的破局思路">AccessGuard 的破局思路</h2> <p><strong>AccessGuard</strong> 引入了 LLM 驱动的 Agentic 架构：</p> <ul> <li><strong>语义理解</strong>：利用 LLM 强大的代码理解能力，精准识别代码中的守卫逻辑（Guard）和敏感操作（Sink）。</li> <li><strong>状态机编排</strong>：使用 LangGraph 进行复杂的审计流程状态编排，取代了简单的单次 Prompt 问答。</li> <li><strong>主动探索</strong>：赋予 Agent 检索工具，使其能像人类安全专家一样主动追溯权限流转。</li> </ul> <h2 id="当前进展与评测">当前进展与评测</h2> <p>目前项目已经在包含 WebGoat、Nacos 等多个靶场的数据集上进行了评测验证。 指标：<code>Recall &gt; 0.9</code>，<code>F1 Score &gt; 0.8</code>。</p> <p><em>(本文为测试文章，详细技术架构文档将在后续更新)</em></p>