GAUNTLEX

{"translation":"我是 Sanjoy，我打造 GAUNTLEX，是因为安全测试的时间节奏对我而言已经变得不合理了。\n\n我使用的每一个 AI 编码助手，都能在不到一分钟内把一张工单变成可运行的实现。而对这些实现的安全审查仍然需要数天——在代码合并之后才跑的 SAST 扫描、安排在下个季度的渗透测试、安全工程师手工编写的测试用例。我们在工作流的一端获得了 100 倍的提速，却在另一端原封不动。"代码已经存在"与"代码已经过对抗性测试"之间的鸿沟，如今已是整条流水线中最危险的窗口，而且它还在越变越大。\n\nGAUNTLEX 通过把测试拉到与构建同一瞬间来封堵这个窗口。它针对同一份规范，让两个 Agent 并发运行。Builder 生成实现，Breaker 生成对抗性攻击——它永远看不到 Builder 的代码。它只依据规范本身进行推理，而这恰恰是真实攻击者在你的实现方案尚未存在时所面对的攻击面。Arbiter 对每一次攻击进行评分，结果是已缓解、部分缓解或未命中，每次运行最终产出一个数字：Adversarial Resilience Score（对抗韧性评分）。一旦低于你的阈值，CI 门禁就会拦截合并，行为方式与一个失败的测试套件完全一致。\n\n以这种方式构建出来之后，自然带来以下几点：\n\n无需编写测试。你只需要把它指向你 AI 工具所用的同一份规范，它就会自行推导出攻击。受监管行业的团队可以用领域剧本对 Breaker 进行引导——HIPAA、FINRA、PCI DSS、SOC 2、OWASP Top 10——让攻击对应到真实的安全控制，而不是换个行业标签的通用扫描。每一份报告都附带一份对有序结果计算 SHA-256 哈希，因此你可以几个月后运行 gauntlex verify 来再次证明某份审计产物没有被篡改。而且如果你处于离线隔离环境，整个引擎可以在本地 Ollama 模型上运行，零外部调用。\n\n安装方式是 pip install gauntlex-ai；通过一条命令即可作为 MCP 服务器接入 Claude Code / Cursor / Windsurf / Copilot / Zed；MIT 开源许可。可以使用你自己的 API Key、免费层模型，或完全本地运行——在安装时由你决定。\n\n我真心欢迎那种"刺痛"的反馈，所以我把 GAUNTLEX 用在了它自己的源代码上（免费层模型，已签名报告，你可以自行运行 gauntlex verify 重新推导哈希），并基于同一份规范发布了一份可控的并发与串行对比：速度提升 2.6 倍，而串行流水线给一段登录流程打出了完美的 1.0 分，却遗漏了"根本没人去验证它签发出去的 JWT"这一事实。GAUNTLEX 自己的门禁在串行运行尚未结束之前，就以 0.75 分捕获了这个问题，而且理由是准确的。\n\n请告诉我：并发执行的假设在哪里站不住脚？什么会让你不愿意把它摆在你 CI 门禁之前？下一个应该上线的领域是哪一个？\n我会全天都在这里。\nhttps://github.com/sanjoy1234/ga..."}