这周（截至 2026-06-13）Hacker News 上 AI 板块有几个特别值得中国技术人注意的新物种，它们有一个共同点：全是开源、全是本周冲榜、国内中文圈几乎零讨论。其中最反差的一条——阿里巴巴内部用了两年、服务过数万开发者、识别过数百万缺陷的 AI 代码审查工具，悄悄开源后直接冲上 HN 首页。中国大厂的工具，海外先火，这就是典型的信息差。今天一次性拆四个：阿里 OCR、Anthropic 的 AI 漏洞挖掘 harness、Apache 孵化的 agent 状态机框架 Burr，以及一个融资 730 万美元却一夜 archive 的 LLMOps 项目（警示）。
官网：https://alibaba.github.io/open-code-review/ 仓库：https://github.com/alibaba/open-code-review HN 热度：283 分 数据：6624 stars / 375 forks，Go 语言，Apache-2.0 协议
先说最有信息差的这个。它的 GitHub 描述开门见山："Battle-tested at Alibaba's scale"——阿里规模实战检验。README 里写得很清楚：它原本是阿里巴巴集团内部的官方 AI 代码审查助手，过去两年里服务了数万名开发者、识别出数百万个代码缺陷，经过超大规模验证后才孵化成开源项目。换句话说，这是个已经被中国最大电商体量"喂"成熟的产品，现在白送给你用。
这是最值得国内开发者搞清楚的一点。很多人现在做 AI 代码审查，就是给 Claude Code 配一个自然语言 Skill，让它读 diff 写评论。OCR 的团队明确指出这种做法三个通病：
OCR 的解法是它整个项目的灵魂——确定性工程 × Agent 混合架构：该绝对不能错的地方（选哪些文件、规则匹配、评论定位）由工程代码硬约束，该灵活决策的地方（读上下文、搜代码库）才交给 agent。
flowchart LR
A[Git Diff 输入] --> B{确定性工程层 硬约束}
B -->|智能文件选择| C[精确筛选需审查文件]
B -->|智能文件捆绑| D[关联文件打包<br/>如中英文 properties]
B -->|细粒度规则匹配| E[按文件特征匹配规则集<br/>NPE/线程安全/XSS/SQL注入]
C --> F[每个 bundle 一个<br/>独立子 agent 分治并发]
D --> F
E --> F
F --> G{Agent 层 动态决策}
G -->|读全文上下文| H[深度审查<br/>非表面 diff 反馈]
G -->|搜代码库| H
H --> I[外部定位模块<br/>修正行级精度]
I --> J[外部反思模块<br/>提升内容准确度]
J --> K[行级精准评论输出]
完全免费开源，自带模型——你只要配置一个 LLM 端点就能跑。安装一行命令：
npm install -g @alibaba-group/open-code-review
装完就有全局命令 ocr（注意别和光学字符识别搞混）。配置模型也很简单，OpenAI 和 Anthropic 协议都兼容：
ocr config set llm.url https://api.anthropic.com/v1/messages
ocr config set llm.auth_token your-api-key
ocr config set llm.model claude-opus-4-6
ocr config set llm.use_anthropic true
内置的微调规则集覆盖了 NPE（空指针）、线程安全、XSS、SQL 注入等高频高危项。适用人群：有 CI 流水线、想做自动化 code review 的后端/全栈团队；想替代按人头收费的 CodeRabbit 的人（CodeRabbit 现在每贡献者约 $12-24/月，团队一大就是一笔大开销）。
仓库：https://github.com/anthropics/defending-code-reference-harness 博客：https://claude.com/blog/using-llms-to-secure-source-code HN 热度：538 分（本周 AI 类前列） 数据：5808 stars / 422 forks，Python
这是 Anthropic 本周开源的自主漏洞发现与修复参考实现。它的来头不小——基于 Anthropic 的 Glasswing 项目，即他们和多家企业安全团队合作做安全研究积累的经验。整个流水线是经典的渗透闭环：recon（侦察）→ find（发现）→ verify（验证）→ report（报告）→ patch（修补）。
它最有意思的形态是六个 Claude Code skills，在仓库里直接 / 调用：
/quickstart：30 秒入门 + 引导首次运行/threat-model：构建威胁模型/vuln-scan：按威胁模型做静态扫描/triage：分诊扫描结果、降低误报/patch：生成并验证修复补丁/customize：把流水线移植到你的语言/检测器/漏洞类型这点特别值得说。Anthropic 在安全上做得相当克制：交互式 skills（quickstart/threat-model/vuln-scan/triage）只读写文件，不执行代码；但自主流水线会执行目标代码，所以它强制要求在 gVisor 沙箱里跑，否则直接拒绝执行。默认针对 C/C++ 内存漏洞，用 Docker + ASAN（AddressSanitizer）验证崩溃。run scripts/setup_sandbox.sh 一次，再用 bin/vp-sandboxed 启动。
适用人群：AppSec 工程师、安全研究员、需要给自家代码做 AI 安全审计的团队。国内对比：国内安全审计主流还是 CodeQL、Semgrep 这类规则引擎，AI 自主挖洞（agentic fuzzing/vuln discovery）是前沿地带，这套 harness 是目前少数有顶级厂商背书、可白盒改的开源起点。注意官方说这个 repo 是"参考实现，不维护、不接受 PR"——他们另有付费的 Claude Security 托管产品，开源这套是给你抄作业和定制的。
官网：https://burr.apache.org/ 仓库：https://github.com/apache/burr HN 热度：246 分 数据：2384 stars / 164 forks，Python，Apache-2.0，已进入 Apache 孵化器
如果你的 agent 经常"失控"——状态丢失、决策不可追溯、重跑结果不一致——Burr 想解决的就是这个。它的核心理念：把 agent 应用表达成一个状态机（state machine / graph / flowchart），而不是一坨自由发挥的 prompt。
它的定位很明确：适合任何需要管理状态、追踪复杂决策、加入人类反馈、做幂等自持久化工作流的应用。自带一个 telemetry UI，能实时追踪/监控系统运行，还有可插拔的 persister 做内存/状态持久化。安装：
pip install "apache-burr[start]"
burr # 启动自带的 telemetry UI
核心 API 极简，hello-world 长这样：用 @action 装饰器声明每个步骤读什么、写什么（reads=[]、writes=["prompt"]），再用 ApplicationBuilder 把它们串成状态图。Burr 不关心你怎么调 LLM（OpenAI、本地模型都行），它只负责状态、追踪、持久化、可观测这几件 agent 框架最该做好却最常被忽略的事。
适用人群：要构建可靠、可观测、有状态的 agent 的开发者；厌倦了 LangChain 黑盒链路、想换一个更强调工程可控性的框架的人。国内对比：思路和 LangGraph 接近（都是图/状态机表达 agent），但 Burr 更偏可观测性和持久化工程，且进了 Apache 孵化（有基金会背书，长期治理更稳）。
仓库：https://github.com/tensorzero/tensorzero HN 标题："AI OSS tool repo goes archived over night after raising $7.3M Seed"（219 分） 数据：11573 stars / 892 forks，Rust，ARCHIVED: True（已归档）
这条不是推荐你用，而是给你选型避坑。TensorZero 本是个口碑不错的开源 LLMOps 平台——统一了 LLM gateway、可观测性、评估、优化、实验，1.1 万 stars，Rust 写的，性能强。但本周它在刚融完 730 万美元种子轮后，连夜把仓库归档了，在 HN 引起一阵哗然。
我把这条放进"新工具"专题，是因为它对一个常被忽视的信息差最有说服力：开源不等于永续。融到资反而成了某些项目"关停开源版、转向闭源商业化"的转折点。对国内技术人的启示很直接：
（截至发稿，TensorZero 官网仍可访问，仓库处于 archived 只读状态，社区对其后续走向有多种猜测，建议直接跟踪官方公告判断。）
| 维度 | 大多数国内技术人以为 | 本周 HN 实际发生的信息差 |
|---|---|---|
| AI 代码审查 | 自己给 Claude Code 写个 review skill | 阿里内部跑了两年的 OCR 已开源，混合架构解决位置漂移 |
| AI 安全审计 | 只能用 CodeQL/Semgrep 规则引擎 | Anthropic 开源了 agentic 挖漏洞 harness，含 6 个 Claude Code skills |
| Agent 编排 | LangChain/LangGraph 一把梭 | Apache 孵化的 Burr 用状态机+可观测性做可控 agent |
| 开源 LLMOps | stars 高=靠谱 | TensorZero 1.1万star 融730万后仍 archive，开源≠永续 |
| ## 行动指南（按优先级） |
npm i -g @alibaba-group/open-code-review，配一个你的模型 key，在最近一个 PR 的 diff 上跑一次 ocr，对比它和你现有 review 流程的差异。国产、中文支持好、零成本，ROI 最高。/threat-model 和 /vuln-scan 这两个只读写文件、无沙箱也安全的 skill，再决定要不要搭 gVisor 跑自主流水线。本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。