代码审查

WIRED 报道的新创公司 &Truth 试图把形式化验证自动化，用数学证明程序确实按预期运行，为日益依赖 AI 生成代码的“氛围编程”补上可靠性缺口。

Greptile 借助 GPT-6 Astra 从静态代码审查扩展到用户工作流测试，并用 Daybreak 强化安全、Codex 减少返工，指向代码智能工具的新分工。

CodeRabbit 用 GPT-6.1 Sol 构建安全智能体，在复杂代码库中排查风险，并辅助开发者理解发现与修复建议。这标志着代码审查从补全式工具转向能主动调查的安全代理。

Anthropic 发布面向关键开源项目的免费可选漏洞扫描器 OSS Scanner，用其最强模型（含 Claude Mythos）扫描登记代码库，报告不经人工复核直接发给维护者。

安全研究者借助 AI 工具挖出 PHP 语言中沉睡多年的老漏洞，随后 AI 辅助的攻击接踵而至——这揭示了 AI 时代漏洞攻防的一个结构性变化。

Anthropic 让 Claude 为 123 个开源库生成约 1.8 亿行数学证明代码，验证现有代码的正确性，并发现多年测试未能捕获的缺陷。其目标是让 AI 形式化验证像常规测试一样普及。

OpenAI 的 GPT-5.6 Sol 与 Google 的 Gemini 4 Argon 分别在独立项目中发现了同一个影响数百万网站的关键 PHP 漏洞，安全公司 Wiz 用后者复现了结果。这既证明 AI 漏洞挖掘已具备实战价值，也意味着同样的能力可被攻击方利用。

一则 Hacker News 讨论引出的关键问题：当编码 Agent 提交补丁时，修复之外的隐性改动往往无人审查，代码可信度正成为新的工程议题。

Hacker News 上出现一个名为 Sphinx 的钩子工具，它会在代码提交或发布前，用测验的形式检验开发者是否真正理解 AI 生成的代码。

当 AI 生成的代码规模超过人工审查能力，验证环节正成为软件工程的新瓶颈，也是新一轮工具竞争的焦点。

Postgres 19 因 AI 代码审查工具发现的问题数量超出维护者修复能力而推迟发布，暴露出开源项目在 AI 辅助审查时代面临的新瓶颈。

Benefit Street Partners 的工程师用 Codex 做代码审查、加速贷款估值比对与信贷协议分析，让投研跟进更快。这提供了一个金融场景下 AI 编码工具落地的具体样本。