Krisp 为何选择 Hacktron 进行安全代码审查

“Hacktron 专注于真实、可利用的安全问题，影响清晰，并附有修复建议。

“它总能在 PR 发布之前发现高价值的问题，让我们把更少的时间花在分诊上，把更多的时间用于修复真正的风险。”

Davit Karapetyan
产品安全工程师

关于 Krisp

Krisp 是一个实时语音 AI 平台，为个人和企业提供降噪、口音转换、实时转录和 AI 会议摘要等功能。其产品广泛用于全球的呼叫中心、会议工具和语音 AI 开发者平台。

Krisp 已部署在超过 2 亿台设备上，每月处理超过 800 亿分钟的语音对话，业务规模遍及全球。因此，安全是 Krisp 及其客户的重中之重。

挑战：在 AI 时代让安全跟上开发速度

和许多安全团队一样，Krisp 过去依赖传统的 SAST 工具，这些工具会产生大量告警，其中大多数并不可利用。真正的风险被淹没在噪音中，分诊本身也成了一项耗时的工作流程。

随着工程团队开始借助 AI 加快软件开发，Krisp 需要一种方法，在开发流程早期识别出真正有意义的漏洞，同时不拖慢工程团队，也不强迫他们改变交付代码的方式。

解决方案：为 SDLC 引入 AI 原生的安全工作流

Krisp 将 Hacktron Review 直接集成到其 GitHub 工作流中，在不改变工程师现有工作方式的前提下，把安全纳入拉取请求审查流程。

Hacktron 不会孤立地扫描代码改动，而是结合针对具体应用的威胁模型和完整的代码库上下文审查每个拉取请求。通过理解一次改动在整个应用中所处的位置，Hacktron 能够推断它是否真的可被利用，并发现业务逻辑缺陷、被打破的安全假设以及多步骤漏洞，而传统的基于模式的扫描器在设计上就不是用来发现这些问题的。

发现会以行内评论的形式发布在受影响的代码旁，并附有复现步骤、可达性追踪和修复建议。Krisp 的工程师几分钟内就能验证可利用性，而不必争论某条告警是否属实。

成果：更强的安全性，更少的噪音

部署后的前 4 周内，Hacktron 已协助 Krisp 在多个漏洞进入生产环境之前将其识别并处理，从发现问题到处理平均仅用 8 天。

Krisp 的安全团队借助 GitHub 分诊评论、Hacktron MCP 和 Hacktron API，在一周内分诊了 300 多个发现。每个误报或已接受风险都标注了原因，这些原因直接反馈到 Hacktron 为 Krisp 代码库建立的威胁模型中。随着时间推移，这些反馈帮助 Hacktron 更好地理解 Krisp 的架构、安全控制和风险承受度，从而减少误报，提升发现质量。

对于 Krisp 这样的复杂系统，安全关卡和安全原语往往横跨多个仓库和应用。Hacktron Review 将自身分析与 Krisp 团队的直接反馈相结合，帮助 Krisp 实现了高信噪比，同时不断加深对 Krisp 各项控制措施的理解。