---

समस्या

AI कोड उत्पादन को गति देता है लेकिन नई सुरक्षा अड़चनें पैदा करता है:

मुद्दा	प्रभाव
सुरक्षा समीक्षाएँ MR को घंटों या दिनों तक रोकती हैं	प्रति टीम सदस्य 7 घंटे/सप्ताह खोना
AI अनुपालन प्रबंधन को कठिन बनाता है	70% टीमें यह रिपोर्ट करती हैं
परिनियोजन के बाद अनुपालन समस्याएँ खोजी गईं	76% संगठन
पारंपरिक SAST उपकरण AI-विशिष्ट जोखिमों को मिस करते हैं	Prompt injection, LLM output-to-exec, unsafe ML deser
40-62% AI-निर्मित कोड में कमज़ोरियाँ होती हैं	कोई मौजूदा उपकरण AI-विशिष्ट खतरे के पैटर्न का पता नहीं लगाता

_{स्रोत: GitLab 2025 ग्लोबल DevSecOps रिपोर्ट}

समाधान

AgentFlow Auditor — चार AI एजेंट जो AI-निर्मित कोड में पारंपरिक SAST द्वारा मिस किए गए सुरक्षा जोखिमों को पकड़ते हैं। 41 पता लगाने के नियम जिनमें LLM prompt injection, output-to-exec, unsafe deserialization, SQL injection, SSRF, और path traversal शामिल हैं। स्कैनेबल रिपोर्ट पोस्ट करता है, फिक्स पैच उत्पन्न करता है, जोखिम बहाव को ट्रैक करता है। एक @मेंशन सब कुछ ट्रिगर करता है।

---

वास्तुकला```

Developer opens MR │ ▼ @duo-agentflow-auditor review this MR │ ▼ ┌───────────────────────────────────────────────────────┐ │ │ │ ┌─────────────┐ ┌──────────────────┐ │ │ │ Scanner │──────▶│ Reporter │ │ │ │ Agent │ │ Agent │ │ │ │ │ │ │ │ │ │ Read diffs │ │ Grade risk │ │ │ │ Match 34 │ │ Risk heatmap │ │ │ │ rules │ │ Post MR comment │ │ │ │ Score risk │ │ Create issue │ │ │ └─────────────┘ └────────┬─────────┘ │ │ │ │ │ ┌───────┴────────┐ │ │ │ SAFE? │ │ │ │ ├─ Yes ──────────────┐ │ │ │ └─ No ───┐ │ │ │ │ └───────────┘ │ │ │ │ │ │ │ │ │ ┌─────────────┐ ┌────────▼───────┘┐ │ │ │ │ Metrics │◀──────│ Fixer │ │ │ │ │ Agent │ │ Agent │ │ │ │ │ │◀──────────────────────────────┘ │ │ │ Baseline │ │ Confidence-scored│ │ │ │ Cross-MR │ │ patches │ │ │ │ Green │ │ Fix branch + MR │ │ │ │ Posture │ │ │ │ │ └─────────────┘ └─────────────────┘ │ │ │ │ GitLab Duo Agent Platform (ambient) │ │ │ │ ┌───────────────────────────────────────────┐ │ │ │ External SAST Agent (CI/CD container) │ │ │ │ bandit + semgrep + custom rules merge │ │ │ └───────────────────────────────────────────┘ │ └───────────────────────────────────────────────────────┘

### एजेंट रोस्टर

| एजेंट | भूमिका | उपकरण | मुख्य क्षमता |
|:------|:-------|:------|:--------------|
| **Scanner** | MR डिफ़्स का विश्लेषण करें | 10 उपकरण | 41 नियम (26 regex + 15 Semgrep), AI-विशिष्ट खतरे का पता लगाना, भेद्यता एकीकरण |
| **Reporter** | ऑडिट रिपोर्ट पोस्ट करें | 7 उपकरण | 10 सेकंड में स्कैनेबल (ग्रेड + हीटमैप + शीर्ष 5), भेद्यता लिंकिंग, DANGER पर स्वचालित मुद्दा |
| **Fixer** | कोड फिक्स उत्पन्न करें | 8 उपकरण | आत्मविश्वास-स्कोर वाले पैच (HIGH/MEDIUM/LOW), स्वचालित फिक्स MR निर्माण |
| **Metrics** | जोखिम आधाररेखा ट्रैक करें | 6 उपकरण | क्रॉस-MR सीखना, टीम की स्थिति, आधाररेखा विचलन, ऊर्जा/कार्बन ट्रैकिंग |
| **SAST Scanner** | बाहरी SAST | CI/CD | bandit + semgrep चलाता है, Python स्क्रिप्ट के माध्यम से कस्टम नियमों के साथ विलय |

---

## विशेषताएँ

<table>
<tr>
<td width="50%">

### सुरक्षा स्कैनिंग
- **41 डिटेक्शन नियम** — 26 regex + 15 Semgrep कस्टम नियम
- **8 जोखिम श्रेणियाँ** — विनाशकारी कमांड से लेकर प्रॉम्प्ट इंजेक्शन तक
- **AI-विशिष्ट डिटेक्शन** — LLM प्रॉम्प्ट इंजेक्शन, आउटपुट-टू-एक्सेक, असुरक्षित डिसीरियलाइज़ेशन
- **जोखिम स्कोरिंग** — प्रति निष्कर्ष 0-100 (गंभीरता x संदर्भ x श्रेणी)
- **ग्रेड सिस्टम** — SAFE / WARNING / DANGER

</td>
<td width="50%">

### ऑटोमेशन
- **एक-ट्रिगर सक्रियण** — `@उल्लेख` या समीक्षक नियुक्त करें
- **शर्तनिर्भर रूटिंग** — SAFE स्कैन फिक्सर को छोड़ देते हैं, टोकन बचाते हैं
- **संरचित MR टिप्पणियाँ** — जोखिम तालिकाएँ, फिक्स सुझाव, संक्षिप्त करने योग्य विवरण
- **स्वचालित फिक्स जनरेशन** — नई शाखा पर कोड पैच
- **मुद्दा निर्माण** — DANGER ग्रेड पर स्वचालित

</td>
</tr>
<tr>
<td width="50%">

### आधाररेखा ट्रैकिंग
- **जोखिम विचलन का पता लगाना** — समय के साथ स्कैन की तुलना करें
- **प्रवृत्ति विश्लेषण** — सुधार / गिरावट / स्थिर
- **फिक्स अपनाने की दर** — ट्रैक करें कि कितने सुझाव लागू किए गए
- **इतिहास लॉग** — प्रति स्कैन JSONL ऐपेंड

</td>
<td width="50%">

### ग्रीन मेट्रिक्स
- **टोकन ट्रैकिंग** — प्रति स्कैन उपयोग
- **ऊर्जा अनुमान** — प्रति स्कैन kWh
- **कार्बन फुटप्रिंट** — kg CO2 वास्तविक दुनिया सादृश्य के साथ
- **ऑप्टिमाइज़ेशन सुझाव** — स्कैन दायरा कम करें, बेसलाइन कैश करें

</td>
</tr>
</table>

---

## डिटेक्शन श्रेणियाँ

### Semgrep कस्टम नियम

6 श्रेणियों में 15 उत्पादन-ग्रेड Semgrep नियम: