AI 代码安全审计主要检测哪些类型的漏洞？

1. 注入类漏洞

覆盖 SQL 注入、NoSQL 注入、命令注入、跨站脚本（XSS）与模板注入等。OWASP Top 10:2025 仍将注入列为重点风险类别，强调"将指令与查询分离"与参数化查询等防护原则。

2. 越权访问与权限缺陷

对应 OWASP Top 10:2025 的 A01 失效的访问控制（Broken Access Control）。该类别在测试中 100% 的应用均被发现存在某种形式的访问控制问题，并吸纳了服务端请求伪造（SSRF）作为具体表现，是 AI 生成代码最易遗漏的高危缺陷。

3. 敏感信息泄露

检测硬编码的密码、API Key、Token、证书与内部域名等。AI 生成的示例代码常因训练数据中存在明文凭证而被复刻，密钥扫描是审计的必检项。

4. 软件供应链与依赖风险

包括已知漏洞依赖、开源许可证合规风险、开源组件投毒风险，以及 AI 特有的"幻觉依赖包"。OWASP Top 10:2025 已将该类风险单列为一类（软件供应链失效），凸显其重要性。

5. 不安全配置与基础设施即代码风险

面向 Terraform、Helm、Kubernetes、Dockerfile 等编排与部署文件的安全检查，覆盖默认权限过大、公开存储桶、缺失安全加固等云原生配置问题。

6. 业务逻辑与异常处理缺陷

识别未校验资源归属、缺少幂等控制、异常处理不当、边界条件缺失等逻辑缺陷。这类问题往往语法正确却隐含业务风险，需要语义理解与业务建模才能有效发现。