在合并前发现风险
结合整个代码库的上下文审查变更。
Hacktron Review
为团队和 AI 写出的代码做安全审查。
团队和编程智能体正在产出更多代码。Hacktron 检查其中可利用的漏洞，提供验证证据，并帮助你合入经过测试的修复。
无需信用卡
acme-ai/platform #91 · Add project sharing endpoint
Open
hacktronreviewed src/projects/share.ts
9+const { orgId } = req.body
10+const project = await getProject(orgId, req.params.id)
Authorization bypass: orgId from the request reaches getProject() without a membership check.
Exploit path
- 1POST /projects/:id/share takes orgId from the body
- 2getProject(orgId, id) trusts it as the caller’s org
- 3Any user can share, and so read, another org’s project
Hacktron: 1 exploitable issue
dana-k applied the suggested patch7be04d1
−const { orgId } = req.body
+const orgId = await requireMembership(req.user, req.body.orgId)
Hacktron: no exploitable issues
客户信赖
统一安全审查
Hacktron 支持团队正在使用的 Git 平台。
看清该修什么
查看每个问题的攻击路径和验证证据。
拿到可审阅的修复
让智能体编写补丁、运行测试并提交修复。
工作原理
安全反馈，就在开发者写代码的地方。
检测结果直接标注在 Git 平台 中出问题的代码行上，审查意见始终紧贴引入风险的代码。
连接 Git 平台
接入 Git 平台，选择仓库，并决定要审查哪些变更。
审查 PR 和 MR
Hacktron 以行内评论给出检测结果，并附上复现与修复所需的全部上下文。
调优信号
通过处置评论和 .hacktron/rules.md，让 Hacktron 学会哪些问题对你的应用真正重要。
Hacktron focuses on real, exploitable security issues with clear impact and remediation guidance.
It consistently uncovers high-value findings in PRs before they are published, helping us spend less time triaging and more time fixing the real risk.
反馈闭环
让威胁模型跟着代码一起演进。
将相关仓库归入同一个应用，并添加架构说明或安全文档。Hacktron 根据代码和上下文建立威胁模型，再从漏洞分诊反馈中持续学习。你手动编辑的内容会被保留。
- 项目规则
- 团队文档
- 分诊反馈
自动关闭
修复完的问题，不在待办里积灰。
当下一次提交修补了漏洞，Hacktron 会自动识别并关闭对应的检测结果，无需人工清理。
授权绕过
src/projects/share.ts:10提交修复
项目上下文
只有你的团队才懂的部分，交给自定义规则。
用 .hacktron/rules.md 描述认证模式、可信来源、忽略路径，以及你的应用独有的约定。
融入团队工具
让安全问题直接进入团队的工作流程。
在 Slack 中分诊，在 Jira 或 Linear 中跟踪修复，通过 MCP 使用 AI 助手，也可用 API 接入自己的工具。
已验证的问题
授权绕过
src/projects/share.ts:10Slack与团队一起分诊
授权绕过
验证证据与修复建议
Jira创建工单
授权绕过
验证证据与修复建议
Linear跟踪修复
授权绕过
验证证据与修复建议
你的 AI 助手MCP / REST API
授权绕过
验证证据与修复建议
针对性修复
验证问题
授权绕过
验证证据与修复建议
编写补丁
src/projects/share.ts− exportProject(req.body.orgId)+ const org = await verifyAccess(user)+ exportProject(org.id)运行测试
- ✓
rejects_cross_tenant_access - ✓
requires_organization_membership - ✓
allows_authorized_requests
测试通过
等待审查
针对性修复
src/projects/share.ts提交 PR 或 MR
融入审查流程
规则由你定，团队照常开发。
覆盖范围
一个审查员，覆盖应用安全全域
Hacktron Review 适用于 Web、移动端、后端、API、CLI 和原生代码库，专注可利用的真实风险，而非一长串低价值告警。
业务逻辑漏洞
SQLi、XSS、SSRF、XXE
提示词注入
内存安全漏洞
认证与访问控制
基础设施即代码（IaC）风险
供应链风险
密钥与凭证泄露
For teams currently relying on traditional automated security tools, trying Hacktron is an easy decision.
In our experience, it surfaces issues that other providers simply miss and does so with a level of speed and precision that is hard to match.
安全与代码质量
代码能运行，仍可能被利用。
一个接口可能通过所有测试，却允许某个客户读取其他客户的数据。Hacktron 专门审查代码变更引入的攻击路径。
安全审查
攻击者会如何滥用这段代码？沿着权限、数据流和业务规则，找出可被利用的路径。
- 跨代码库的攻击路径
- 授权与业务逻辑
- 证据与复现步骤
- 经过测试、可供审查的修复
通用代码审查
变更是否正确运行、符合项目要求？检查行为、可读性和可维护性。
- 正确性与边界情况
- 可读性与可维护性
- 测试与覆盖率
- 团队规范
通用审查工具也能发现安全问题。Hacktron 将可利用性作为每次审查的重点。
常见问题
常见问题解答。
快速了解 Hacktron Review 如何融入 PR 和 MR 安全工作流。
这只是一个 SAST 扫描器吗？
不是。Hacktron Review 利用仓库上下文和调用图来推理可利用性，而不只是匹配语法模式。凭借先进的 AI 推理能力，它能发现业务逻辑漏洞等传统 SAST 扫描器遗漏的漏洞类型。
检测结果会出现在哪里？
检测结果以行内 PR 或 MR 评论的形式呈现，附带工程师复现和修复问题所需的上下文。每个检测结果都配有 PoC 利用示例，以及可直接用于修复的 AI 提示词。
审查员如何越用越聪明？
处置评论和项目规则都会转化为反馈。当开发者和安全工程师在检测结果下留言时，Hacktron 会学到每个代码库中哪些问题紧急、哪些无关、哪些可信、哪些是有意忽略的。
哪些变更会被审查？
Hacktron 根据筛选规则和开发者席位，审查已启用仓库中受覆盖分支的变更。每次 PR 或 MR 审查最多支持 500 个变更文件，超过此数量的变更会被跳过。
产品演示
跟随 Fabian 体验一次完整审查。
通过真实的拉取请求，了解漏洞发现、研判和项目规则。
开始审查 PR 和 MR
让 Hacktron 审查你的下一个 PR 或 MR。
免费试用即刻开始，或预约时间，一起过一遍你的仓库和审查工作流。
无需信用卡