CodeRabbit用GPT-6.1 Sol做安全代理，把代码审查延伸到跨仓库

OpenAI于10月26日发布客户案例，介绍代码审查平台CodeRabbit如何把GPT-6.1 Sol用作其安全代理的主力模型。按照OpenAI的描述，这一组合的目标不是替代现有扫描器，而是把审查范围从单次改动扩展到整个复杂代码库。

问题出在关联性上。一个拉取请求可能牵动共享库、依赖项以及应用其他位置的安全防护，仅看改动本身很难判断影响面。GPT-6.1 Sol帮助CodeRabbit把跨文件、跨组件的行为连起来，从而指出潜在的安全问题。

在产品层面，这一能力分成几层。开发者在提交拉取请求时，模型即可分析改动；Deep Scan进一步把调查扩展到仓库级别的依赖与组件交互；CodeRabbit Secure则把范围延伸到被关联的其他仓库，例如一个共用的身份认证库，以判断某个弱点会如何波及更大系统。

修复环节是这套流程的落点。对用户选定的问题，CodeRabbit可以在隔离沙箱中尝试验证漏洞利用，而不触碰生产系统；对受支持的问题类型，它还能起草包含修复建议的拉取请求，交由人工审阅和批准。

OpenAI称，CodeRabbit已用GPT-6.1 Sol在数千个仓库和组织中发现安全相关问题，这些结果直接进入开发者原本就在使用的拉取请求工作流。CodeRabbit的系统同时使用其他前沿模型与安全工具，审查过程与被审查代码的生成代理相互独立。

值得关注的是定位变化。当写代码的代理越来越多，瓶颈从编写转移到审查，安全厂商开始把模型推理当作扫描器的补充而非替代，用自然语言解释风险、用沙箱验证假设、用拉取请求承载修复。

不过，OpenAI公布的是客户叙事而非独立评测。发现问题的准确率、误报率、沙箱验证的覆盖范围，以及在超大型单体仓库中的成本，目前都还没有公开数据支撑。

接下来可以观察三点：CodeRabbit是否公布可复现的基准结果，沙箱内漏洞验证会不会成为代码安全产品的标配，以及按仓库规模计费的模式能否被企业接受。