从 Strix 到多 Agent 白盒扫描器：把代码证据、验证闭环和任务图做成一个系统
以 Strix 的开源实现为参照，拆解一个可落地的多 Agent 白盒扫描器：从代码索引、可达性与数据流，到 Agent 图编排、证据契约、低误报门控、沙箱验证、状态机和 CI 增量扫描。
Tag
#SAST
本地 Agent 运行时应该成为白盒扫描对象
CLAWAUDIT 把本地 LLM Agent 的 prompt builder、tool dispatcher、skill loader、memory writer、network client 和 permission gate 定义为新的静态审计边界。本文拆解它的五类运行时边界、Semgrep/CodeQL 双后端评测、语义盲区，以及一条可落地的 Agent runtime SAST 流程。
AI 生成代码的安全关口要前移到写入瞬间
Semgrep Guardian、Codex MCP/Hook 文档与 agentic coding 工具依赖选择研究共同指向一个工程判断：AI 写代码的安全控制不能只等 CI 扫描，而要在 Agent 写文件、引入依赖、调用工具和提交 PR 的每一跳留下可验证的安全反馈。
白盒扫描 Agent 不应该停在候选漏洞
OpenAnt 把仓库级漏洞发现拆成可达性裁剪、LLM 语义检测、对抗式验证和容器动态验证。本文从授权白盒扫描角度拆解一条 verified finding pipeline：候选、证据、反证、复现、报告放行、人工审核和可验证指标。