【免费下载链接】metisMetis is an open-source, AI-driven tool for deep security code review项目地址https://gitcode.com/gh_mirrors/metis19/metis点击查看免费下载Metis 是一款开源的AI 驱动安全代码审查工具AI-Powered Security Code Review由 Arm 产品安全团队打造。它不依赖硬编码规则而是用具备语义理解和推理能力的 LLM 对代码库做深度审查帮你发现传统 Linter、SAST 工具容易漏掉的隐蔽漏洞。本教程将带你5 分钟内完成安装、配置 LLM 并跑通第一次安全代码审查。什么是 Metis先看懂它的核心能力深度推理基于 LLM 的语义级理解而非静态规则匹配适合大型、复杂的遗留代码库确定性本地证据审查与分诊强调源码本地分析、语言插件与确定性证据收集降低误报✅问题验证Triage可对自己或第三方 SAST 工具产出的 SARIF 结果做二次分诊Provider 灵活支持 OpenAI、Azure OpenAI、Anthropic、Gemini、AWS Bedrock、vLLM、Ollama、llama.cpp 等插件化语言体系开箱支持 C/C、Java、C#、Python、Go、Rust、TypeScript、JavaScript、Kotlin、Solidity、Verilog、Terraform 等 19 种语言完整列表见 README.md 的 Supported Languages 表格其核心引擎、执行图与语言插件源码分别位于 src/metis/engine/ 与 src/metis/plugins/默认执行图配置见 src/metis/metis.yaml。前置准备安装 Metis 前需要 2 样东西Python 3.12项目要求见 pyproject.tomluv包管理工具推荐安装极快 如果不想管理本地依赖也可以直接走后文的Docker 一键方案。快速安装3 种方式任选其一方式一uv 虚拟环境推荐git clone https://gitcode.com/gh_mirrors/metis19/metis cd metis uv venv uv pip install .如需 PostgreSQLpgvector或 Qdrant 向量库支持安装对应扩展uv pip install .[postgres] # 或 uv pip install .[qdrant]方式二系统级安装uv pip install . --system方式三Docker 一键构建docker build -t metis .仓库提供了完整的 Dockerfile构建后在任意代码库目录下挂载运行即可见后文示例。配置 LLM Provider30 秒接入你的模型默认使用OpenAI只需导出 API Keyexport OPENAI_API_KEYyour-key-here想换成其他模型在配置文件里修改llm_provider.name并用--config PATH指定即可。各 Provider 对照表Providername安装方式OpenAIopenai已内置Azure OpenAIazure_openai已内置Anthropicanthropicuv pip install .[anthropic]Google Geminigeminiuv pip install .[gemini]AWS Bedrockbedrockuv pip install .[bedrock]vLLM / Ollama / llama.cppvllm/ollama/llamacpp已内置不想挨个装一条命令全都要uv pip install .[all-providers]。本地私有化用 Ollama 跑 Metis如果没有云 API可以用本地模型。参考示例配置 examples/ollama/metis_ollama_example.yaml核心只需llm_provider: name: ollama base_url: http://localhost:11434/v1 model: llama3.1:8b # 8GB 内存推荐然后运行uv run metis --config examples/ollama/metis_ollama_example.yaml --codebase-path /path/to/src各 Provider 的详细说明见 docs/providers/ 目录例如 docs/providers/ollama.md、docs/providers/vllm.md。第一次安全审查1 条命令跑通 review_code方式一交互模式推荐新手uv run metis --interactive --codebase-path /path/to/src进入提示符后依次执行 init review_codeinit初始化仓库上下文加载威胁模型记忆如SECURITY.*文件review_code对代码库执行完整审查方式二非交互直跑uv run metis --codebase-path /path/to/src --verbose --output-file results/review.json--verbose会显示执行图中的每个 stage/node--output-file导出结果。审查结果长什么样Metis 会给出文件位置 问题描述 代码片段 原因 修复建议 置信度。例如针对一段 C 语言地址重映射代码它会指出更新后的值没有写回内存并直接给出带*ptr value;的修复代码完整示例见 README.md 的 Example 4 部分。常用命令速查表命令作用场景init初始化仓库上下文与威胁模型记忆首次使用必做index构建向量索引需要ask检索能力时review_code全量代码安全审查常规审查review_dir path审查指定目录聚焦局部模块review_file path审查单个文件快速验证review_patch diff审查增量补丁Code Review 场景update diff增量更新索引避免全量重建ask question向索引提问代码库问答triage findings.sarif对 SARIF 结果分诊降误报配合--triage参数SARIF 分诊流程的原理简介见 docs/triage-flow.md。进阶技巧Docker 运行与自定义配置Docker 中审查本地代码库# 挂载当前目录并注入 API Key docker run --rm -it -v $PWD:/metis -e OPENAI_API_KEY${OPENAI_API_KEY} metis --codebase-path /metis --verbose切换向量库后端默认使用本地免安装的ChromaDB。若用 PostgreSQL pgvector可先一键拉起环境docker compose up -d仓库中的 docker-compose.yml 已预置好 pgvector 扩展然后uv run metis --project-schema myproject_main --codebase-path /path/to/src --backend postgres自定义 metis.yaml不传--config时Metis 使用打包的默认配置 src/metis/metis.yaml涵盖并发数、token 上限、审查断点、威胁模型匹配模式等。常用调优点max_workers并发 worker 数默认 5threat_model.source_patterns威胁模型文件匹配规则src/metis/metis.yaml项目根目录放一个.metis.md可为审查注入团队私有安全规范执行图的完整结构stage、node、输出绑定详见 docs/execution-graph.md。总结你的 Metis 安全审查之路✅git cloneuv pip install .完成安装✅export OPENAI_API_KEY或配置 Ollama 本地模型✅uv run metis --interactive --codebase-path /path/to/src进入交互模式✅ 执行init→review_code拿到带修复建议的审查报告下一步建议用triage命令对 SAST 结果做误报分诊或用review_patch把它接入日常 Code Review 流程。Metis 采用 Apache 2.0 协议开源见 LICENSE欢迎深入 docs/ 目录探索更多能力。赞分享【免费下载链接】metisMetis is an open-source, AI-driven tool for deep security code review项目地址https://gitcode.com/gh_mirrors/metis19/metis点击查看免费下载相关推荐Hercules快速入门10分钟搭建Git代码分析环境完整教程Hercules快速入门10分钟搭建Git代码分析环境完整教程 Hercules 是一款极其快速、功能强大的Git仓库分析引擎能够从Git历史中获取深开发工具数据可视化DeepSeekMath快速入门5分钟搭建数学推理AI环境DeepSeekMath快速入门5分钟搭建数学推理AI环境 还在为复杂的数学推理问题头疼吗DeepSeekMath 7B模型以51.7%的MATH基准得分惊人工智能大模型基础模型模型评测NLP模型推理服务DeepSeekGitHub MCP Server快速入门5分钟搭建AI开发环境GitHub MCP Server快速入门5分钟搭建AI开发环境 还在为AI工具无法直接访问GitHub数据而烦恼吗GitHub MCP ServerMoMCP 服务后端开发工具创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考