首页 › new-tools › HN新货：给AI写的代码请个保安

你用AI写代码写得飞起，但没人给AI的产出做安全体检——这一周，海外社区把这个缺口补上了。 本文带你挖最近一周 HN「Show HN」板块里三个刚冒头、国内还没人提的新工具：一个专抓 AI 代码安全债的开源 Linter，一个让 Agent 直接操作数据库的应用框架，一个聚合了 7000 个 Agent 技能的统一安装入口。顺便告诉你一个坏消息：这个赛道已经有头部玩家宣布日出了——哦不，是日落。

一、VibeGuard：47 条规则，专治 AI 写码的老毛病

仓库：https://github.com/zeroFhacker/vibeguard 上线时间：2026-08-29 登上 Show HN（作者 zeroFhacker） 价格：MIT 协议，完全免费，Python 3.10+ 即可跑

先说它的洞察，我觉得比工具本身更值钱：AI 编程助手（Copilot、Cursor、Claude、ChatGPT）之所以反复犯同样的安全错误，不是因为模型笨，而是它们的训练数据里本来就塞满了带漏洞的代码。作者把 AI 生成代码里反复出现的错误模式整理成了 47 条专属规则，分成六大类：

类别 AI 的典型翻车
注入类 SQL 用 f-string 拼接、shell=True 命令注入、模板注入
密钥类 API key 直接写死在源码里、私钥入库
认证类 JWT 解码不校验算法（alg:none 绕过）、MD5 存密码
输入校验 路径穿越、XXE、pickle 反序列化执行任意代码
配置类 生产环境 DEBUG=True、CORS 全放开
密码学 random 模块做安全随机、ECB 模式加密

它和 Bandit / Semgrep 有什么不一样？

传统扫描器是「通用规则」，VibeGuard 是「对着 AI 的错题本出的卷子」——README 里明说每条规则都来自对真实 AI 生成代码的观察，而且每条会标注哪个 AI 工具最容易犯这个错（比如 SQL_INJECTION 直接标注「classic Copilot pattern」）。另外它给每个项目打 A–F 评级（90 分以上为 A），每条发现都配一句大白话修复建议，这对国内英语一般的开发者相当友好。

三步接入今晚就能用

git clone https://github.com/zeroFhacker/vibeguard.git
cd vibeguard && pip install -r requirements.txt
PYTHONPATH=. python -m vibeguard.cli scan --path ./你的项目 --ci --fail-on high

--ci 模式下发现 high 及以上问题会以退出码 1 结束，直接当 CI 卡点用。官方 README 还给了完整的 GitHub Actions workflow 配置，复制进 .github/workflows/security.yml 就能让每次 push 自动扫描并上传 JSON 报告。

给你泼盆冷水：这个项目 8 月 29 日刚发布，发布时 HN 上只有个位数讨论，v1.0.0，规则以正则和 AST 检查为主，误报少不了，VS Code 插件还在 Roadmap 里。拿来当「AI 代码出厂体检」很合适，别指望它替代渗透测试。

国内视角：国内团队用 AI 写码的普及速度不比海外慢，但安全兜底大多还靠「老司机人工 review」。VibeGuard 这类「AI 错题本」思路值得国内安全团队直接抄——把自家代码库里 AI 犯过的错沉淀成规则库，比通用扫描器精准得多。

二、Sapporta：数据库应用从第一天就给 Agent 留了门

官网：https://sapporta.com/ 上线时间：2026-08-29 Show HN（作者 jasim） 协议：MIT，基于 Hono + React，数据层目前是 SQLite

无代码平台（AirTable、NocoDB 这类）大家都用过，问题也都知道：数据锁在别人平台里，按席位付费，想深度定制就得碰壁。Sapporta 的路子反过来：你写 Drizzle schema 定义表，它自动生成类型安全的 CRUD API、可编辑的数据网格、行级安全（CASL 授权）和报表引擎——但整个项目就是一个普通的 Hono + React 应用，代码完全归你所有，作者原话叫「没有控制反转，没有看不懂的黑盒」。

真正让我觉得有信息差的是它的 Agentic 设计：每个 Sapporta 应用自动把 API 全貌发布在 /api/openapi.json，带详细的路由描述、用法示例和参数文档。因为每张表都有自动生成的 CRUD API，Claude Code、Codex 这类 Agent 不需要任何额外代码就能直接操作你的应用——录入自由文本并映射成合法的行插入、跑多步工作流、执行报表、回答数据问题，而且行级安全保证 Agent 只能看到当前用户自己有权看的数据。作者还配了 sapporta-skills 技能包（覆盖建表、报表、行权限、自定义端点），给 Claude Code 这类工具直接装上就能按约定写代码。

作者的出发点很实在：他给自己做复式记账系统时，想让 Agent 导入银行流水、自动分类、对账找错——手工对账最烦的部分，Agent 干得比人好。

国内对比：明道云、简道云这类国内无码平台是表单驱动、按人收费、数据在云端；Sapporta 是「代码 owned + 自部署 + Agent 原生」，单 Node 进程就能跑，还带 Dockerfile。如果你在给公司攒内部工具，或者想做一个「让 AI 帮我记账/管库存」的私人系统，这个思路比再开一个 AirTable 账号有意思得多。项目同样刚发布（HN 发布时 0 评论），当尝鲜项目合适，生产使用建议再观察两个版本。

工作流长这样：

flowchart LR
    A["写 Drizzle 表结构"] --> B["自动生成 CRUD API"]
    A --> C["自动生成数据网格"]
    B --> D["API 全貌发布到 openapi.json"]
    D --> E["Claude Code 等 Agent 读取接口说明"]
    E --> F["Agent 直接增删改查与跑报表"]
    C --> F

三、Skills MCP：7000 个 Agent 技能，一条命令装进你的编辑器

仓库：https://github.com/gengirish/skills-mcp 上线时间：2026-08-30 Show HN（作者 gengirish），MIT 开源

Agent Skills 生态这两个月爆发式增长，但有个尴尬：技能散落在无数个 GitHub 仓库里，多数人的安装方式还是「翻仓库 → 找 SKILL.md → 手动拷文件」。Skills MCP 把这一步收敛成了一个 MCP 服务器：

npx -y @gengirish/skills-mcp

一个入口聚合约 7000 个技能，支持搜索 → 预览 → 安装到 Cursor、Claude Code、Claude Desktop、Cline、Windsurf。信息差在于：大多数人还不知道技能生态已经大到需要「应用商店」了——当安装成本趋近于零，给 Agent 挑技能会像装浏览器插件一样日常。

必须提醒：这是第三方聚合仓库，供应链风险真实存在（上周 npm 蠕虫的事刚过去），装任何第三方技能前先预览内容再确认，别一键全装。

侧记：赛道出清的信号

同期还有一个值得记住的事实：曾经支持 10 多种编码 Agent（Claude Code、Codex、Gemini CLI、Copilot、Amp、Cursor、OpenCode、Droid、CCR、Qwen Code）的多 Agent 看板工具 Vibe Kanban，已在仓库 README 顶部挂出 sunsetting 公告（据其 GitHub 仓库页面，日落原因以官方公告为准）。含义很直白：AI 开发工具赛道已经开始淘汰赛，「新工具」不等于「值得押注」。选型时把维护活跃度放进权重，比追新更重要。

另外两条一句话快讯，感兴趣自查：ScriptTap（免 root 的安卓自动化，主打「AI 脚本契约」机制，已上 Google Play）和 CardGo（给 AI 聊天用的端到端加密「上下文卡片」，可复用分享）。

信息差总结

你可能以为 实际情况
AI 写的代码人工过一遍就够了 47 条「AI 错题本」规则可自动抓出高频漏洞，MIT 免费，今晚就能进 CI
数据库应用只能靠无码平台，按席位付费 Sapporta 这类 Agent 原生框架：你拥有代码，Agent 拿 openapi.json 直接干活
装 Agent 技能要翻仓库手动拷文件 npx -y @gengirish/skills-mcp 一条命令搜索/预览/安装 7000 个技能
新工具都值得追 同赛道头部 Vibe Kanban 已宣布日落，选型先看维护活跃度

行动指南

  1. 今晚（10 分钟）：clone VibeGuard，扫描你最近用 AI 生成的项目，先看评级——大概率不是 A，把 CRITICAL 项按它的英文修复建议清掉。
  2. 本周：把 scan --ci --fail-on high 加进 GitHub Actions，让安全检查变成合并前的硬门槛。
  3. 周末：用 Sapporta 起一个内部小工具（报销登记、设备台账都行），把 sapporta-skills 装给 Claude Code，体验「对话式管理数据库」。
  4. 顺手：npx -y @gengirish/skills-mcp 接入你的编辑器，挑两三个高频场景技能（如代码审查、文档生成）试用，装前逐个预览内容。

参考来源

  1. VibeGuard 仓库与 README：https://github.com/zeroFhacker/vibeguard
  2. Sapporta 官网：https://sapporta.com/
  3. Skills MCP 仓库：https://github.com/gengirish/skills-mcp
  4. HN Show HN 实时列表（Algolia API）：https://hn.algolia.com/api/v1/search_by_date?tags=show_hn
  5. Vibe Kanban 仓库（日落公告）：https://github.com/BloopAI/vibe-kanban

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。

51学通信知识星球海报-扫码加入

📎 本分类最新文章