Deepsec：讓 AI 找程式漏洞之前，先看掃描範圍與費用

AI 可以快速寫出一個能用的網站，卻不代表權限檢查、資料處理和金鑰管理都安全。Vercel Labs 的 Deepsec 想做的是協助掃描程式碼、找出值得進一步檢查的安全問題；它的結果仍需要人類驗證，不能把掃描完成當成安全保證。

這個題目來自一則 2026 年 8 月的推薦貼文。原帖只有推薦使用，沒有公開具體漏洞案例；以下以專案文件為依據，本站尚未執行 Deepsec 掃描。

它怎麼協助檢查？

官方文件描述，工具先建立掃描環境，再進行程式碼模式掃描與 AI 檢視，產出可匯出的結果。快速模式掃描在文件中標示為免費；使用 AI 處理候選問題則涉及模型供應商及其計費。工具把可疑線索集中，方便團隊判斷哪些問題應優先調查。

例如，團隊可以檢視登入後才能呼叫的管理介面是否真的做了伺服器端權限驗證。但工具提出候選問題，不代表漏洞已被證實；要再追蹤實際呼叫路徑、權限邊界，並以安全、授權的方式重現。掃描沒報錯也不代表沒有漏洞。

最容易忽略的限制：費用

官方明確提醒，大型程式庫使用預設高強度模型掃描時，費用可能達數千甚至數萬美元。文件提供設定成本及時間上限的參數；執行前仍應先確認模型供應商、計費方式、預算與程式碼送往何處。免費的模式掃描不能等同整套 AI 安全審查免費。

比較穩妥的評估方式，是先選自有或獲授權的小型測試專案，確認掃描範圍和模型使用限制，檢查候選問題，再由工程師複核。不要直接拿正式系統做未計畫的大規模掃描，也不要把工具輸出當成已修復的證明。

Deepsec 對需要定期審視程式碼的團隊值得研究；如果只是想替小網站做第一次安全盤點，先確認權限、依賴更新與基本測試，同樣重要。

資料來源：Deepsec GitHub。