deepsec（Vercel 开源安全扫描 harness）

Vercel 开源的安全扫描 harness：用 coding agents 对仓库做“候选定位→逐文件调查→二次复核→导出修复指令”的流水线，适合给中大型代码库做更深的可操作安全发现（而不是只出一堆不可复现的告警）。

这是什么

deepsec 是 Vercel 开源的安全扫描工具：先用规则快速找出可疑代码，再让 AI 模型逐个调查、二次复核以减少误报，最后导出可读的问题报告和修复建议。它在仓库里只添加一个 .deepsec/ 目录保存状态和结果。

对独立开发者来说，它适合在上线前或大改之后，对鉴权、支付、数据访问这些关键代码做一次比普通扫描器更深入的排查。

在要扫描的仓库根目录运行 npx deepsec init，按提示选择模型和付费方式（自己的 OpenAI / Anthropic Key，或 Vercel AI Gateway）。
用 --max-cost-usd 和 --max-duration 限制单次花费和时长，例如 npx deepsec init --max-cost-usd 100 --max-duration 2h。
扫描完成后进入 .deepsec 目录，用 pnpm deepsec export --format md-dir --out ./findings 导出报告。
之后的扫描依次运行 scan（免费的规则扫描）、process（AI 复核）、revalidate（可选，进一步降低误报）。

2026-10-25 阅读官方页面与仓库说明整理；功能、状态和命令可能变化，以官方最新文档为准。