Mobbin 如何借助 Hacktron 实现近乎即时的安全分诊

“我想不出还有什么别的办法能做到规模化。

“让 Hacktron 先过一遍我们的安全问题，帮了我们很大的忙。”

Jian Jie Liau
首席技术官

关于 Mobbin

Mobbin 已成为现代产品团队不可或缺的基础设施。超过 200 万名设计师借助它的资料库学习全球最佳数字产品，资料库收录了超过 60 万个来自已上线移动应用、Web 应用和网站的界面。

挑战：发现在发布后才出现，且没有明确的负责人

AI 大幅提升了 Mobbin 工程团队编写和交付代码的速度。

安全发现往往在功能上线之后才出现。那时已经没有明确的负责人，团队不得不为每个问题找到合适的工程师去调查。

“以前，安全发现会在功能上线之后才出现。没有指定负责人，所以我们得找人来接手。”

Jian Jie Liau
首席技术官

挑战：人工审查难以应对跨模块改动

在使用 Hacktron 之前，安全审查依靠人工完成。工程师自己编写测试、审查拉取请求。这对小而独立的改动行之有效。跨模块改动则更难处理，因为任何一位审查者都只能考虑到团队已经看到的系统交互。

“一般来说，小的可测试单元没有问题。但对于跨模块改动，测试套件受限于团队对各系统如何在代码库中交互的理解。”

Jian Jie Liau
首席技术官

随着代码生成不断加速，Mobbin 需要一种能跟上节奏的安全审查：为每次改动带入更广泛的应用上下文，并帮助工程师趁代码还新鲜时做出决策。

Hacktron 将安全审查带入每个拉取请求

现在，Mobbin 用 Hacktron 对每个拉取请求进行第一轮安全审查。Hacktron 识别出的发现会作为 PR 审查流程的一部分出现，因此安全审查与代码同步推进，而不是等到发布之后。Hacktron 结合更广泛的代码库审查每次改动，追踪它与应用的交互，并直接在 GitHub 中发布发现。

“有了 Hacktron，安全发现会出现在 PR 审查流程中，PR 的负责人也就是安全发现的负责人。”

Jian Jie Liau
首席技术官

代码一有改动，Hacktron 就会再次审查。工程师在拉取请求仍处于活跃状态时就能看到发现，检查证据并做出最终的分诊决定。

“我们交付代码的速度大幅提升了。

“我们确实需要一款自动化的 PR 安全审查工具，多一双眼睛把关。”

Jian Jie Liau
首席技术官

• 使用 Hacktron 之前：发现往往在发布后才出现，且没有明确的负责人。
• 使用 Hacktron 之后：发现在 PR 审查期间出现，安全成为进行中改动的一部分。

基于完整代码库的上下文

Hacktron 为决策带来应用上下文，从而让发现的分诊更快。

Hacktron 能把一次改动与应用中其他位置的代码联系起来，指出仅凭孤立的 diff 难以看出的安全影响。它还能识别出随着代码库演进可能形成漏洞路径的结构性改动。

“我欣赏的是，Hacktron 不只是检查现有的安全漏洞。

“它还会指出高风险的攻击面或改动，也就是那些在编写时并无风险，但由于代码的组织方式，未来的改动有可能在此引入漏洞的地方。”

Jian Jie Liau
首席技术官

成果：从发现到决策只需几分钟

“由于 Hacktron 是 PR 审查流程的一部分，工程师几乎能立即对发现做出反应。

“PR 的负责人也就是安全发现的负责人。”

Jian Jie Liau
首席技术官

在 Mobbin 使用 Hacktron 的前八周里，有 21 个发现得出了最终结论。分诊时间的中位数约为 32 分钟，即便是耗时最长的一个，也在 10.3 小时内完成了分诊。通过把安全审查移入每个拉取请求，并围绕每个发现整合应用上下文，Hacktron 让分诊从发布后的交接环节变成了进行中开发工作流的一部分。

对于一支 AI 原生的工程团队而言，安全审查如今能够跟上代码生成的速度，及早暴露问题，让团队在改动仍在进行时就采取行动。