AppSec 中的本地 LLM：哪些工作可以放心交给开放工具和模型

CodeScoring 在 Habr 发文讲解如何用本地 LLM 开展应用安全（AppSec）工作，梳理可交给开放工具和模型的任务。工具链包括 Ollama、llama.cpp、vLLM 等运行环境，PentAGI、Strix 等智能体环境，以及 Garak、PyRIT、Giskard、DeepTeam 等测试工具。可行场景涵盖结合分析器结果排查代码告警、动态测试应用和检测应用内置 AI 助手；SRLabs 的 Beyond Fable 实验显示，把评审拆成指定文件和预期结果的小任务，本地模型能给出比整体委托更好的结果。落地也有代价：PrivEsc-LLM 4B 实验中智能体把容器内权限误判为目标，60 轮未取得目标系统 root；2025 年 1 月 PyPI 出现窃取环境变量的 deepseeek、deepseekai 假包；Llama 3.2 多模态模型许可限制欧盟公司使用。