17 篇博文 含有标签「2026 年」

早些时候我们完成了对 Irify 中 JavaScript 的 SSA 前端重构，从基于 Antlr 的前端转向微软官方以 Golang 重构的 typescript-go 解析器（https://mp.weixin.qq.com/s/BzDWCV0haY-QOapXDovFmW ）。这使得 JavaScript/TypeScript 的编译（项目源码到 SSA OpCode）速度得到极大提升，也让“把前端工程当作一个可规模化审计目标”变得现实。经过一段时间的迭代，目前引擎已经具备 JavaScript 与 TypeScript 的基础扫描能力。本周随引擎发版，我们补齐了 import/export 语义支持，并对部分 闭包/回调场景的跨过程分析做了针对性优化，同时上线了一批面向 JavaScript 的内置审计规则。

AI Agent 这两年正以不可思议的速度发展着。这种由大语言模型（LLM）驱动的自然交互模式，正在重塑静态应用安全测试（SAST）领域。基于 AI Agent 的自动化代码审计方案，已逐渐成为当前安全工程实践的重点探索方向。

在现有的 AI Agent 代码审计框架中，系统获取代码上下文的主要检索手段通常依赖 grep （纯文本正则检索）、tree-sitter （抽象语法树/AST 解析）以及 LSP （语言服务器协议）等工具。这些技术在处理基础的符号定位和局部代码提取时具有绝对效率优势：grep 负责极速的关键词定位，tree-sitter 负责精准的语法结构识别，而 LSP 则提供了“转到定义”或“查找引用”等基础语义导航能力。

然而，面对深度的安全审计需求时，这套组合拳显现出了结构性的局限。grep 仅能进行字面量匹配，无法解析逻辑依赖；基于 AST 的解析虽能识别静态特征，却难以跨越函数与物理文件边界；LSP 虽具备一定的语义关联能力，但本质上仍是“点对点”的静态跳转，它无法刻画变量在复杂控制流和赋值逻辑中的“生命周期”，也难以追踪数据在经过集合封装、对象透传或跨过程调用后的真实流转。

这是 AI Agent 相关能力第一次正式应用到 Yakit 的日常功能模块中。本次以 HTTP 历史流量分析 作为试点，在不改变用户原有使用习惯的前提下，引入一个“懂流量、能对话”的分析专家，用来辅助用户理解和分析已有流量数据。

本文主要介绍这个功能做了什么、怎么用，以及背后的一些实现思路。

我们正在解决 IRify 处理大项目时的性能问题，当前 IRify 在处理大型项目时面临的主要性能瓶颈：

为了解决这些问题，我们引入了智能的依赖追踪 + 变更检测机制，实现「有变编译，无变复用」的高效构建模式。

【前文回顾】

为什么我们需要监控进程？​

在上一篇文章中，我们讨论了如何利用 TUN 设备构建一个基础的流量拦截环境（点击即可查看）。 然而，在实际的渗透测试或安全开发场景中，我们经常会遇到一个痛点：流量是“盲目”的。

在日常代码安全审计工作中，生成一份清晰、专业的审计报告是必不可少的环节。IRify 作为 Yakit 生态中的静态代码分析平台，提供了强大的报告生成功能，帮助安全工程师快速输出标准化的审计成果。本文将详细介绍 IRify 的报告生成功能及其使用方法。