本地LLM代码图谱混合架构，告别云端API泄露风险！

政企核心代码、开源大型项目的代码审计长期面临两大痛点：云端AI代码工具存在源代码泄露风险，传统静态扫描工具漏报率高、无法精准判断漏洞可利用性。近日安全研究人员开源一套local-vuln-research-pipeline本地漏洞研究流水线，以14B参数Qwen2.5-Coder代码模型为核心，采用代码图谱+LLM混合离线架构，全程不调用任何云端接口，在本地硬件完成全流程漏洞挖掘，已通过Linux内核、VSCode等大型项目验证，成为内网安全团队、企业SRC离线代码审计的实用工具。

一、流水线核心架构：确定性扫描+LLM语义校验

该流水线区别于主流AI审计工具，核心逻辑为静态路径穷举为主、LLM辅助验证为辅，保障结果可复现、无遗漏。完整流程分为八大环节：
1、项目指纹识别与SBOM清单生成，梳理全部依赖组件。
2、联动NVD漏洞库，结合EPSS、KEV指标筛选高危第三方依赖。
3、Semgrep静态扫描构建完整调用图谱，穷举所有source-to-sink污点路径。
4、注入历史CVE样本完成威胁建模，为大模型提供漏洞上下文。
5、逐路径送入14B代码模型，判定漏洞真实可利用性。
6、对未覆盖文件单独执行LLM人工级代码审查，消除扫描盲区。
7、自动合成多步骤攻击链，还原完整入侵路径。
8、输出含根因、利用链路、修复方案的标准化审计报告。
整套流程全部离线运行，源代码、审计数据不会流出本地服务器，高度适配金融、工控、涉密企业内网安全规范。

二、多语言全覆盖，可检测主流高危漏洞

流水线依托tree-sitter解析引擎，支持C/C++、Rust、Java、Python、Go、TS/JS等9种主流开发语言，针对性识别各类高危安全缺陷：
1、底层语言：缓冲区溢出、释放后重用等内存安全漏洞。
2、Web开发语言：SQL注入、SSRF、XSS、SSTI、反序列化、权限绕过。
3、后端框架：SpringSpEL注入、ORM注入、路由权限缺陷、竞态TOCTOU漏洞。
覆盖OWASPTop10全类型攻击向量，兼顾第三方依赖漏洞与业务代码原生缺陷，适配操作系统内核、Web平台、后台服务等多场景审计。

三、轻量化本地部署，消费级GPU即可运行

工具部署门槛低，普通消费级硬件就能完成推理，推荐配置RTX4070TiSUPER16G显卡、32G内存，搭载Qwen2.5-Coder-14B量化模型仅占用8.6G显存，搭配0.5B小模型推测解码，推理速度可达35-50tok/s，支持32K超长代码上下文。

项目基于llama.cpp构建推理服务，Windows、macOS、Linux全平台兼容，仅需简单Python命令即可完成模型下载、CVE库更新、批量代码审计，同时支持断点续扫，适配百万行级大型代码仓库持续检测。

四、工具局限与适用场景

流水线存在静态分析固有短板：函数指针、虚表调用、C语言宏、汇编代码无法精准解析，对此工具会标记可疑代码交由LLM二次研判，规避大量假阴性。

该工具更适合三类用户：涉密企业内网安全团队、开源项目漏洞研究人员、自建SRC的大型互联网厂商。相比云端代码审计，本地流水线彻底规避源代码外泄风险，无需担心第三方平台数据合规问题。

随着代码数据合规要求持续收紧，离线本地AI代码审计已成行业刚需。这套基于14B代码大模型的漏洞研究流水线，平衡了传统静态工具全覆盖优势与LLM语义理解能力，依靠纯本地运行架构解决代码隐私痛点。对于安全从业者而言，该开源流水线为大型代码仓库自动化漏洞挖掘提供低成本、高安全的落地路径，也为内生安全、代码供应链安全建设提供全新技术思路。