AI 代码安全审计中的规则引擎与大模型如何协同工作？

1. 规则引擎负责确定性与可解释检测

规则引擎依托成熟的安全规则集（如 OWASP、CWE 对应规则）对已知漏洞模式做精确匹配，优势在于结果确定、可解释、误报可控，适合高频、可枚举的缺陷检测，例如硬编码密钥、危险函数调用等。

2. 大模型负责语义理解与复杂逻辑推断

大模型擅长理解代码意图、跨文件上下文与业务语义，能够发现规则难以覆盖的逻辑缺陷、权限绕过与不安全设计。其局限在于输出存在不确定性，单独作为判定依据可能产生误报或遗漏。

3. 双层互补的检测闭环

实际架构中二者并非替代关系，而是互补：规则引擎先完成确定性强、可解释的基础扫描并产出候选证据；大模型在候选基础上进行语义研判、扩展可疑路径、解释漏洞成因。规则为模型提供约束与可解释底座，模型为规则拓展覆盖边界。

4. 协同带来的误报收敛效果

当规则命中与大模型语义研判一致时，漏洞置信度显著提升；当二者冲突时，系统可通过动态验证进一步裁决。这种"规则锚定 + 语义研判"的双层结构，是 AI 审计在保持检出率的同时压低误报的关键机制。