生成式人工智能服务备案工作，旨在促进生成式人工智能服务创新发展和规范应用，由网信部门会同相关部门按照《生成式人工智能服务管理暂行办法》要求有序开展。本次长亭科技“百智云大模型”成功通过备案，显示该模型已纳入依法合规提供生成式人工智能服务的范围，体现了长亭科技在AI安全领域、大模型安全与运营管理建设中的又一个重磅成果。

作为国内新一代智能网络安全企业，长亭科技前瞻性布局人工智能安全能力建设。早在2024年6月，长亭科技旗下问津（ChaitinAI）安全大模型便成功通过了第六批深度合成服务算法备案审核，正式取得了国家监管机构的官方资质认定。

面向智能时代的合规新要求、新规范，长亭科技将紧密围绕国家AI战略与合规要求，持续强化自身在AI赋能安全、AI自身安全双路线能力，秉持知攻善防、智能安全的安全建设理念，以保障人工智能安全、可靠、可控为使命，护航数字经济安全、健康发展。

漏洞已公开，EXP 可直接下载！ 即使你已经打过 Copy Fail 补丁，系统仍然可能被攻陷。

2026年5月7日，一个足以让全球 Linux 管理员失眠的漏洞突然曝出。

Linux 是目前全球服务器、云计算、容器环境中使用最广泛的操作系统内核，绝大多数主流 Linux 发行版（Ubuntu、Debian、RHEL、Amazon Linux、SUSE、Arch、Fedora 等）均基于其构建。

而曝出的Dirty Frag漏洞——通过链式利用两个独立的页缓存写入原语，使本地普通用户可无条件提权至 root。更严重的是：即使已部署 Copy Fail 官方补丁，系统仍受 Dirty Frag 影响。

这意味着即使打了补丁，攻击者依然能用同样的思路撕开你的防线。

立即行动：请先翻到文章末尾查看临时缓解方案，用一条命令阻断攻击路径。

Dirty Frag 包含两个独立触发的漏洞原语，攻击目标都是 Linux 内核的页缓存（Page Cache）。

页缓存相当于餐厅的“备餐台”。热门数据被临时放在这里，客人需要时直接端走，省得每次都去后厨（存储）取。

问题出在零拷贝发送路径：内核想把数据从“备餐台”直接发给客人，通过 splice()把数据页放入网络数据包的“餐盒”（skb）里。攻击者只有一个“餐盒”的查看权（读权限），却能污染里面的食物（页缓存数据）。当其他程序读取这个被污染的“食物”时，内核会误以为这是合法指令并执行，从而完成权限提升。

三者同属页缓存污染漏洞家族，但攻击的目标不同：

• Dirty Pipe / Copy Fail：污染 struct pipe_buffer。

• Dirty Frag：污染 struct sk_buff的 frag 槽，即使在打上 Copy Fail 补丁后依然有效。

传统竞态条件漏洞（如 Dirty Cow）需要“碰运气”，在正确的时间窗口内完成攻击，失败可能导致系统崩溃。

Dirty Frag 是纯逻辑漏洞，无需时序窗口，首次尝试就能成功，成功率接近 100%。

覆盖所有主流发行版：Ubuntu、Debian、RHEL、CentOS、AlmaLinux、openSUSE、Fedora、Arch、Rocky、Oracle Linux……无一幸免。

场景 1：云服务器沦陷

你在云平台上买了一台 VPS，以为"租户隔离"保护着你。但 Dirty Frag 让你只需几秒钟，就能从普通用户变成这台服务器的 root——然后你可以读写其他租户的数据。

场景 2：容器逃逸

你在 K8s 集群里跑着微服务，容器之间"隔离"让你安心。但页缓存是宿主机共享的！容器内的攻击者可以穿透容器边界，拿到宿主机的 root，整台节点上的所有租户都暴露了。

场景 3：CI/CD 沦为肉鸡

你的 GitHub Actions 自动跑着 PR 测试？攻击者提交一个恶意 PR，几秒钟后你的 Runner 宿主机就变成他的了——然后他可以用你的计算资源挖矿、攻击其他目标，法律风险由你承担。

禁用三个内核模块可同时阻断两个漏洞变体的利用路径：

// bashsh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

不影响：普通 TCP/UDP 应用、TLS、SSH、HTTP(S) 服务、dm-crypt/LUKS 磁盘加密、kTLS——这些均不依赖 esp4/esp6/rxrpc模块。

可能影响：IPsec/ESP 隧道（VPN）、Andrew File System（AFS）相关服务。执行前请确认系统是否使用上述功能（lsmod | grep -E 'esp4|esp6|rxrpc'）。

上游补丁已提交，各发行版正在陆续回溯。补丁发布后，请尽快执行升级。

立即排查：检查你的 Linux 服务器/主机是否运行受影响的内核版本

立即缓解：参考本文的临时缓解方案，禁用相关内核模块

持续关注：密切跟踪系统供应商（Ubuntu/RHEL/Debian 等）发布的安全更新

日常建议：

◦ 遵循最小权限原则

◦ 避免以 root 权限运行未知程序

◦ 限制普通用户的危险系统操作权限

北京116家独角兽企业里，AI赛道就占了40家——智谱AI、MiniMax、百川智能、月之暗面……每一个都是资本追逐的明星。

而长亭科技专注的，是这波AI浪潮里尤为关键的一环：用AI守住AI的安全。

AI时代的安全怎么做？ 长亭选择两条路：

一是用AI赋能安全。AI WAF、AI SOC、AI自主渗透智能体——让防护从被动响应变成主动发现风险漏洞、提前防御。

二是守护AI本身。大模型安全评估、代码安全产品——当AI成为新攻击面，长亭科技已经筑起了一道新护城河。

2024年，长亭拿下超10亿元分拆轮融资，创下近年网安公司单轮融资纪录；2026年初，国家人工智能产业投资基金领投5亿元。投资方从传统国资变成AI产业基金“国家队”，释放的信号非常明确：长亭的智能安全路线，已被纳入国家AI战略版图。

长亭的科创成色也在持续加码：2024年创业邦“100未来独角兽”，2025年国家专精特新“小巨人”，AI安全多项赛事冠军……一步步成为AI安全创新企业领头羊。

以智能对抗智能，用AI筑牢安全底线。 在AI改变一切的浪潮里，长亭所坚守的，是用“知攻善防，智能安全”的理念，让这场变革跑得更稳、更安全。

个人开发者和白帽子头疼的是：工具太重、成本太高，还不一定真有用

这几年，代码安全工具确实在进步。规则匹配、语义分析、AI 加持，技术进化有目共睹。

MonkeyScan解决的：高风险可视、可查、可闭环

MonkeyScan 是长亭科技新推出的 AI 源码漏洞扫描产品。

思路瞄准真实需求：贴合实际研发流程，帮用户更快、更准地找到真正值得关注的风险，把前因后果说清楚，让结果能直接进入处理流程。

面对一个真实代码仓库，“看”不是问题，最难的是“看懂”。

MonkeyScan 先整体理解代码仓库：用了什么技术栈、有哪些关键入口、核心业务逻辑在哪里、哪些地方风险比较高。然后结合静态分析能力建立基线，把真正值得关注的"热点区域"先收敛出来。

先尽量缩小问题空间，不把海量结果甩给用户。

很多高价值风险，并不藏在某一行明显"写错了"的代码里。更多的藏在跨文件、跨模块、跨调用链的业务逻辑里。

例如，输入的数据，经过几层传递、几个函数调用，最后拼接成了一条 SQL 语句——这条链路上，任何一个环节处理不当，都可能埋下隐患。

MonkeyScan 在静态分析基线之上，引入 AI 语义推理能力，追踪真实执行路径中的业务数据怎么流转、权限怎么判断、逻辑怎么分支，从而看见传统规则看不到的复杂风险。

把风险分析清楚，不是简单地“扫到问题”。

扫描结束，MonkeyScan给出的是一份结构清晰的结果：

●  哪些问题最值得关注

●  问题出在哪里、为什么会出问题

●  影响范围多大、怎么修复

MonkeyScan让代码安全更聚焦、更深入、更实用，研发团队的时间和精力，可以花在更重要的事情上。

产品怎么用？三步搞定

1. 上传代码：支持 ZIP 包上传，也支持直接连接 GitHub 仓库

2. 等待扫描：系统自动进行代码分析/扫描系统自动分析

3. 查看报告：风险详情、修复建议，一目了然

MonkeyScan 正式开放注册

MonkeyScan已结束内测，现在正式开放注册、无需邀请码，面向独立开发者、个人开发者和白帽子开放使用，为缺少高效代码安全工具、又受限于时间和算力的用户带来更轻量的选择。

如果你是独立开发者，想在项目上线前后多一道保险，减少数据泄露和被攻击的风险。

如果你是白帽子，想更高效地筛出真正值得深挖的问题，缓解时间和算力压力。

快来体验 MonkeyScan！

为让更多用户感受到MonkeyScan的好处， 现在新用户注册，即限时获赠 3000积分。

本次活动不仅着眼于公司内部，更将安全意识传递至业务一线。

针对前场团队，公司专门准备了国家安全意识素材包，内含不同风格的原创设计海报、宣传视频、易拉宝等多样化材料，为前场团队配备合规沟通素材，让安全意识自然融入日常业务交流。

在办公环境方面，办公区触目可及的国家安全意识主题系列夺旗猫海报，大屏轮播的国家安全意识主题宣传视频，以醒目又通俗易懂的方式宣贯国家安全知识，让每一位经过的员工都能在潜移默化中接受安全教育。

此外，我们还开展了随机采访模式的趣味互动，邀请不同部门的员工现场回答国家安全问题，答对即可获得精美礼品，让安全知识在轻松氛围中深入人心。

国家安全教育不仅是理念的传递，还需要能力的支撑。我们认为，经得起实际的安全意识和合规能力，才是真正可靠的守护国家安全的能力。

活动联动长亭墨攻实训平台，开展了2026年415全民国家安全教育日知识考核。针对业务场景精心设计的题目，让每一位员工在测试中强化安全合规能力，从而在日常工作中绷紧安全这根弦，助力企业在复杂多变的安全形势中站稳脚跟、行稳致远。

没有网络安全就没有国家安全。数字时代，网络空间已成为大国博弈的“新战场”。从关键信息基础设施防护到数据安全管理，从个人隐私保护到国家秘密维护，网络安全与国家安全的关联休戚相关。

从理念到行动，从技术到服务，长亭科技坚持贯彻总体国家安全观，以创新引领发展，以合规标定底线。对内强化全员安全意识，对外提升行业防御水位，将企业担当融入国家战略。每一次安全检测、每一行防护代码、每一场应急响应，都是对“守护网络安全”“守护国家安全”的重要使命的深度践行。

在本次415全民国家安全教育日活动中，长亭科技以多元化的形式、丰富的内容、创新的互动，将国家安全意识从抽象概念转化为具体行动。这不仅是企业年度合规建设的重要一环，更是长亭科技作为AI驱动的新一代智能网络安全公司，以专业能力服务国家战略、以实际行动履行社会责任的生动体现。

未来，长亭科技将继续秉持“知攻善防 智能安全”的安全建设理念，在守护国家安全的道路上，与每一位从业者同行，共同筑牢数字时代的网络空间安全基石。

2026年，大模型编程能力迎来跨越式提升，AI-Coding正从"能写代码"走向"能交付代码"。然而，飞速提升的效率背后，一个关键隐患正在蔓延：AI生成的代码，正在成为企业安全的新盲区。

AI编码风驰电掣，传统审计方法已然失效

开发者的痛点：明明有代码审计工具，为什么上线后漏洞还是防不住？

因为，AI时代的安全逻辑已经改变：

第一，大模型懂代码，但不懂业务——它能写出语法正确的代码，却无法理解业务逻辑中的权限边界。一次看似简单的”查询用户订单”接口，可能藏着IDOR越权漏洞，而AI浑然不知。

第二，AI编码让产出速度提升10倍，却让传统"先开发、再检测、后修复"的模式彻底失效——代码量暴增，安全人员却还是那几个，发现慢、修复慢、成本高。

第三，AI生成代码的黑盒性让传统规则匹配失效——攻击者开始利用AI生成的代码构造更隐蔽的漏洞，而传统工具还在用过时的规则库继续“守株待兔”。

当安全成为AI编程的最后一公里，新的防线必须向开发前端左移。

码力+慧鉴：长亭AI安全编码双雄

在此背景下，长亭科技结合自身AI安全技术储备和行业领先的实网攻防经验积淀，推出AI安全编码“双雄”——长亭码力（智能开发与安全一体化平台）与长亭慧鉴（智能静态应用程序安全测试系统）。

长亭码力并非单一的AI编码工具，而是围绕企业真实研发流程打造的AI原生研发与安全基础设施。它将AI赋能研发与AI赋能安全深度融合，覆盖从需求、编码、测试、审计到交付的完整生命周期，帮助企业在提升效率的同时，守住安全与质量底线。

业界领先实战攻防经验：产品内置了长亭科技多年的攻防实战经验和审计模板，让每一次AI代码审查都相当于一位高级安全专家的亲自上手。

如果说长亭码力是将安全向研发前端左移，从开发阶段便将安全融入AI编程；那么长亭慧鉴则是在代码完成后进行扫描检测，作为代码发版前的"安全守门员"，以AI反制AI，致力解决代码安全、质量和合规三大核心问题。

研发场景全覆盖，AI 编程增速不增险

在AI重塑开发范式的当下，长亭科技让AI编码从"可用"迈向"可信"。

AI时代，让安全与效率同行，欢迎体验长亭AI安全编码双雄。

2026年初，Google 团队开源GWS（Google Workspace CLI ），短时间内 GitHub Star 数突破18k，被行业称为 AI智能体的“数字手臂”。3月底，飞书、钉钉、企业微信先后开源CLI工具，让智能体能直接操作即时通讯平台（IM 平台）。

长亭科技开源CLI（Chaitin Workspace CLI ），是国内网络安全企业的首次能力开放，将企业级安全产品的核心能力开放到CLI生态，帮助企业打通智能体落地安全能力的最后一公里。

GitHub链接：https://github.com/chaitin/workspace-cli，支持Windows/Linux/macOS全平台，欢迎大家接入Claude code、Codex、Qwen code、Opencode等工具使用。

话不多说，直接看实战效果（复制链接至浏览器查看）：

https://asciinema.org/a/894643

点击【阅读原文】查看 GitHub 项目地址。

OpenClaw掀起的AI Agent热潮，正在从"谁能先用上"转向"谁用得更安全"。

企业纷纷布局AI Agent，甚至自建平台，但安全顾虑始终是绕不开的坎。

对此，长亭科技"守元"大模型安全围栏再度升级，正式推出Agent防护功能，让企业放心使用AI Agent！

此次重要升级，是针对AI Agent生态安全威胁的系统性解决方案。

三大核心功能，精准对标当前Skill恶意投放、Agent执行链路失控等核心威胁，覆盖黑盒主动评估、白盒Skills分析、实时防护全流程。

无论是企业级研发Agent、第三方Skill插件，还是各类交互型智能体，都能帮助企业全方位守住安全底线。

🤔 为什么常规工具防不住智能体风险？

很多人疑惑：明明有常规安全工具，为什么OpenClaw这类恶意智能体还是防不住？

核心问题不在于单点漏洞，而在于智能体安全的底层防护逻辑与传统漏洞防护完全不同。

市面上的智能体形态五花八门：Dify、LangChain、Claude Code、OpenClaw，它们的输入渠道、运行逻辑、调用链路各不相同。

常规工具基于固定架构设计，根本做不到全覆盖管控，这给攻击者提供了大量隐蔽植入的缺口。就像用一把钥匙去开不同形状的锁，注定无法匹配。

很多人误以为用大模型做LLM内容审核就能防护智能体风险，这是完全的误区。

以Qwen3Guard为例，在ATBench agent攻击数据集上，准确率只能达到55.3%。问题在于：LLM Guard只聚焦大模型自身的生成内容安全，而智能体的执行风险藏在执行链路、脚本调用、外部交互、权限越界里，这和单纯的文本内容安全完全不同。

智能体安全不是单一维度的风险，它涵盖不安全请求、任务意图劫持、不安全的执行、代理凭证滥用等多重隐患。

普通防护工具往往只能识别其中一类或几类风险，就像是只检查门禁却忽视了窗户、通风口等其他入口，依然无法形成完整防护。只有做细粒度的多维度分类研判，才能精准锁定恶意样本、拦截异常行为。

No

-Number-

02

🤩「守元」三大核心功能，全链路守护Agent安全

"守元"Agent防护直击上述痛点，三大核心功能每一项都精准击中要害。

“知攻方能善防” —— "守元"不以静态规则堵漏洞，以”恶意意图建模 + 动态载荷生成 + 全链路行为观测“，驱动智能体安全能力持续进化。

AI Agent最大的安全难点之一，是功能逻辑差异大、风险类型各异，常规安全扫描工具根本没法适配。

对此，"守元"采用闭环式自动化红队机制：

针对恶意Skill投放问题（无代码文档诱导、二进制后门、嵌套恶意脚本），"守元"搭载自研渗透测试智能体，打造专业级SKILLS扫描能力，结合深入验证能力，告别常规扫描的误报困扰。

用户只需主动调用扫描目标路径，系统会自动抓取Skill全量文件，包括各类脚本、说明文档、大文件等。通过渗透测试智能体完成扫描，精准识别后门代码、shell执行、恶意外链等高危特征。

更重要的是，”守元“独创白盒漏洞验证机制，会主动发起漏洞验证测试，确保每一条扫描结果真实有效，避免误报带来的资源浪费。

目前，”守元“已经在公开clawhub和skills.rest平台上累计扫描9000+skills，发现超过100+恶意skills能力。

AI Agent运行过程中，最可怕的不是显性恶意代码，而是意图被篡改、任务执行偏离、隐形指令注入。

这类攻击常规工具完全无法检测，但危害极大。

”守元“基于AI Agent流量构建完整对话上下文，通过抽取压缩提交至安全识别模型，做实时意图识别与任务对齐校验。系统围绕"意图不变性""任务对齐性"两大核心原则，搭建语义驱动的智能识别体系，实时监控Agent执行链路。

一旦触发拦截告警，实现端到端全流程保护，从根本上杜绝数据窃取、远程控制、内网扩散等高危危害。

🌟「守元」全场景适配与价值落地

No

-Number-

04

🌈 写在最后

AI Agent风潮已至，但安全一定是底线。没有安全保障的AI Agent，就像是装了高速引擎却没有刹车的车辆，跑得越快风险越大。

”守元“的此次升级，以一款靠谱、专业、好用的安全工具，让企业既能拥抱效率红利，又能守住安全底线。毕竟，只有安全可控的智能化，才是真正能为企业长效赋能、行稳致远的智能化。

“守元” 已正式发布，欢迎联系我司相关人员，即刻体验 AI Agent 安全可控新范式！

“小龙虾”过热引发毒性

从被当作是提升效率的办公神器，到迅速被发现成为企业内网的隐形炸弹，这只被员工争相部署的 OpenClaw “小龙虾”，向企业安全管控抛出新问题。

OpenClaw“龙虾热” 背后，是工具漏洞、违规操作、管控缺位的三重隐患，本地提权、主机入侵随时可能发生。为了让找虾、管虾成为清晰可控的方案，长亭快速推出企业级 OpenClaw 风险监控指南，发布开源 “捕虾” 工具，从全网扫描到流量狙击，一站式解决内网 “小龙虾” 隐患。

长亭“以虾捕虾”

工具“ClawLens”开源首发

ClawLens 是长亭科技自研的一款面向企业终端场景的 OpenClaw 安全检测工具，支持 Windows，macOS 和 Linux， 采用单二进制、零外部依赖设计，可快速完成本机 OpenClaw 安装、运行进程、系统服务、危险配置与凭证权限的安全检查。工具支持输出自包含 HTML 报告和 JSON 结果，既适合安全团队人工排查，也适合集成到 SIEM、自动化巡检或批量检查流程中。

在实际使用中，用户可直接下载对应平台的二进制文件运行，或通过源码执行 make build 完成编译。启动后，只需执行 clawlens 即可完成扫描并生成报告；如需接入自动化流程，可使用 clawlens -f json 输出结构化结果，或通过 clawlens -q 仅返回风险等级退出码，便于在脚本、CI 和批量巡检任务中调用。

该项目我们已经放置 GitHub 仓库开源，项目简介与使用方式可移步查看。

文末点击“阅读全文”直达下载地址

企业级捕“虾”指南

已经部署了长亭风险评估系统（洞鉴）、资产暴露面运营管理（云图）、云工作负载保护平台（牧云）、长亭终端统一管控与安全检测响应平台、流量威胁检测响应系统（全悉）等产品的的用户，可暂时不依赖外部工具，参照以下指南快速“捕虾”。

排查覆盖范围：内网互联网资产中 OpenClaw（及其历史版本 Clawdbot、Moltbot）系统的指纹识别与检测。

以下为检测插件中的核心逻辑片段，用于匹配龙虾控制台的特征标识：

response.title_string.contains("Clawdbot Control") 
|| response.title_string.contains("Moltbot Control") 
|| response.title_string.contains("OpenClaw Control") 
|| response.body_string.contains("__CLAWDBOT_CONTROL_UI_BASE_PATH__")

操作指南：

排查覆盖范围：互联网资产中 OpenClaw（及其历史版本 Clawdbot、Moltbot）系统的指纹识别与检测。

基于企业主体信息，云图即可自动关联发现全网的各类资产，并识别其指纹（包括 OpenClaw），仅需三步即可执行扫描任务！

操作指南：

未部署云图的客户，可通过下方通道申请免费试用（秒开通、免费试用 7 天，支持企业级扫描）。

排查覆盖范围：覆盖服务器终端OpenClaw及所有衍生claw类框架，包括但不限于：OpenClaw Gateway、Claw Agent、ClawHub技能市场客户端、自定义claw类智能体进程，以及相关安装目录、配置文件等。

操作指南：

1）找“虾”---识别定位 OpenClaw

使用牧云进行进程级资产探测，利用产品资产清点功能，对进程名包含“openclaw、claw-agent、claw-gateway、claw-hub”；命令行参数包含“node openclaw、claw start、claw gateway”；可执行文件路径包含“~/.openclaw、/opt/openclaw、/var/lib/claw”进行搜索。

另外，产品还内置OpenClaw清点工具，可以一键清点OpenClaw资产，快速发现其安装情况。

2）洗“虾”---实时监测OpenClaw以及其他claw的异常行为并进行防护

实时监测OpenClaw及其他claw类资产的异常行为，精准识别本地提权、异常登录、恶意攻击等风险，通过自动化防护动作，在风险启动阶段阻断攻击路径，避免风险扩大。

3）防“虾”-针对已发生的claw类安全事件快速处置，避免再次出现

对已发生的claw类资产安全事件（如进程失控、恶意文件植入、主机被入侵），通过快速处置动作，隔离风险、清理恶意文件、恢复系统安全，同时溯源事件原因，避免再次发生。

macos + windows + 信创 linux 三端均支持。

企业管理者可以通过「终端管理/合规基线」页面，一键检测所有员工是否安装了小龙虾（当识别到安装了小龙虾行为时会在平台产生日志）。

操作指南：以控制浏览器插件的方式发现控制OpenClaw的安装与使用，如“Clawdbot Browser Relay”。

以防火墙和安全远程访问功能模块限制、隔离OpenClaw网络访问权限，防止OpenClaw意外暴露到局域网或公网。最好默认只监听本机。

• 检查防火墙是否开启

• 可以直接禁止 127.0.0.1:18789 的使用

排查覆盖范围：建立内外网 OpenClaw 服务访问检测机制，实现对 OpenClaw 使用行为的及时发现与告警。

操作指南：全悉已将OpenClaw的检特征规则更新至产品的检测引擎中，可基于网络流量主动梳理运行 OpenClaw 的终端设备，让内网中所有 “小龙虾” 一目了然，实现办公终端与服务器全覆盖可视。

当检测发现内网存在 OpenClaw 异常连接行为时，系统可实时告警、快速定位并自动 / 手动执行响应阻断，有效遏制风险扩散，保障内网安全与业务稳定。

企业长期运营大模型安全，评估与防御是攻守一体的核心环节。如何通过攻守协同，实现大模型安全能力的持续迭代升级？

OpenClaw等智能体在开放环境中“干活”，需要与外部工具交互，才能完成多步骤任务，其失效模式变得更加复杂。

此时的风险不再只出现在单一环节，而是贯穿输入、推理、工具调用、执行等全流程的交互过程。传统的LLM安全围栏，已经管不住智能体的新风险。

为此，长亭科技自研了一套智能体风险框架，把风险拆成 4 个关键环节：用户输入、基础模型调用、工具调用、外部服务调用，从这四个核心维度系统拆解风险链路。

同时，定义了任务意图劫持、不安全工具调用等 10 类智能体专属风险，通过对智能体全链路交互数据的深度分析，实现安全诊断的精准落地。

AI时代，唯快不破。

MonkeyCode 是长亭科技推出的企业级 AI 开发平台，核心是给开发者和团队提供更专业、可靠的 AI 研发体验 —— 它不只是 “帮你写代码”，而是覆盖「需求→设计→开发→Review」全流程的 AI 研发基础设施，还自带安全隔离、可并行的开发环境，彻底解放重复劳动。

地址如下：https://monkeycode-ai.com/ 

• 全流程覆盖：从需求拆解到代码审查，研发每个环节都能 AI 提效；

• 兼容性拉满：支持 OpenAI Codex、Claude Code 等工具，适配 GPT、GLM、Kimi、Deepseek 等主流大模型，不用改习惯就能用；

• 规范又安全：AI 开发不 “放飞自我”，还有独立虚拟环境，不怕搞崩本地项目；

• 多端都能用：PC、手机 都能发起任务，随时随地推进研发。

目前平台已有数万名注册用户，完成13万+ 开发任务 -- 而在这些实用功能里，最能戳中研发痛点的，就是专门解决代码审查难题的 MonkeyCode Review Bot，不用额外花钱、不用复杂配置，就能把 PR 审查里的麻烦事全搞定。

先说重点，MonkeyCode Review Bot 全程免费使用，没有任何隐藏收费或试用限制！

你不需要搭建复杂环境、不需要部署额外服务，也不用学习专业指令，只要有代码（片段、压缩包或仓库地址），就能立刻启动审查，个人开发者和团队都能直接用。

Code Review 是一项高度结构化、但长期被人力低效执行的工作，而这正好是 AI 最擅长补位的点。

MonkeyCode Review Bot 负责搞定基础、重复、耗时的工作，让人把精力用在更有价值的地方。

更具体一点，它会做这些事：

• 检查代码逻辑是否合理

• 提醒潜在 Bug 和边界问题

• 指出不符合规范的写法

• 给出性能、安全、可维护性建议

• 把零散的问题整理成一份清晰的 Review 报告

No

-Number-

03

🚀 在 MonkeyCode 控制台里发起审查任务

登录 MonkeyCode 控制台，进入「智能任务」页面：

Review 完成后，MonkeyCode 会自动生成一份完整的审查报告，涵盖整体结论、问题说明和优化建议。

下方链接是一个样例 review 任务，可以感受一下实际效果（复制链接到浏览器查看）：

如果你的代码主要托管在 GitHub，那你只需要在仓库的 Pull Request 评论区直接 @MonkeyCode-AI 即可调用。

No

-Number-

05

🤖 接入 Webhook，让 Review 自动发生

如果你追求的是流程化和自动化，那你还可以选择使用 Webhook 的方式与 git 仓库集成。

通过把 MonkeyCode Review Bot 接入 Git 仓库的 Webhook，你可以实现 “每次创建 PR / MR，自动触发一次 Review”。

目前 MonkeyCode 已支持接入 GitHub、GitLab、Gitee、Gitea 等主流平台。

代码审查从来就不是什么 “可有可无” 的流程，它是保障代码质量、降低上线风险的关键一环。只是过去，我们总被时间紧、人手少、成本高这些现实问题绊住了脚，只能无奈妥协。

而 MonkeyCode Review Bot 想做的，就是把这件本该被重视的事，变得更轻量、更省心，也更容易坚持下去。

不管是单打独斗的个人开发者，还是需要带团队把控交付质量的负责人，都可以从一次免费的Review 开始，亲身体验 AI 给研发效率带来的改变。更惊喜的是，现在新用户注册登录 MonkeyCode，还能直接领取价值 200 元的等额算力（20000 点），不光能免费做代码审查，还能解锁平台上更多 AI 研发功能。

对 MonkeyCode 感兴趣的小伙伴，赶紧到官网（https://monkeycode-ai.com/）试试手吧！

 也欢迎通过下方二维码进入交流群，和更多研发同行聊经验、薅福利～

1月29日，税务系统2025年网络安全产品框架协议采购入围项目入围结果公告，长亭凭借丰富的产品布局，成功入围8个包共计32款产品，产品覆盖防火墙、WAF、网络入侵检测、网络入侵防御、日志审计、数据库审计、运维堡垒机、VPN等18类核心安全设备，全面覆盖税务系统数据安全、边界防护、运维管控等关键场景，为税务系统数字化转型筑牢安全屏障。

同是1月29日，中直机关2025年网络设备框架协议采购项目中标公告，长亭科技入围类别进一步扩大，涵盖10类32款产品，囊括WAF、入侵检测、漏洞扫描、安全运营、数据库审计、日志审计、上网行为管理系统、运维审计与管理系统等，构建起多维度、全场景的安全防护体系，适配中直机关数字化办公的安全保障需求。

3月3日，中央国家机关2026年度网络安全产品框架协议联合征集采购项目入围结果公告，长亭科技成功入围5类45款产品，覆盖网络安全核心场景，包括网络防火墙、WEB应用防火墙、入侵检测系统、入侵防御系统、运维安全管理产品，全方位满足中央国家机关网络安全防护需求。

从中央到行业，从边界到内网，从实战到智能，此次连续入围三大重磅政府采购项目，长亭科技凭借“知攻善防，智能安全”的核心理念，正加速成为国家关键信息基础设施安全防护的中坚力量。

作为刚刚获得国家级AI基金战略注资的智能安全领军厂商，长亭科技将继续深耕核心技术研发，为政府及行业客户提供实战化、体系化、智能化的全栈网络安全解决方案，以高水平安全守护各领域数字化高质量发展。

你有没有经历过这样的时刻：晚上 11 点，群里又有用户问——“按文档配了半天还是报错，怎么处理？”

你翻了翻记录：这已经是本周第 7 次发生了。

问题不难，表面上 2 分钟能答完，但要翻群记录、找截图、核对版本号，一来一回就要 15 分钟，而你现在只想快点搞完去睡觉。

可第二天一早，同样的问题又来了。你发现：真正折磨人的不是不会，而是每次都得从头解释一遍。

从这个时候开始，长亭科技产研团队就在思考如何解决这个问题。

在售后/客服/产品答疑/开发者支持等场景中，常见的问题是：

一些团队认为这是由于“人不够”，于是选择：

然而，这些办法本质上是在“堆信息”，而不是“让信息变得可用”。

想象一下：

这时候团队会出现一个很典型的"循环"：

何解？

长亭科技 KoalaQA 希望重构这个循环

KoalaQA 是长亭科技旗下的一款开源 AI 智能售后产品，面向售后答疑、产品支持、资料查询、开发者社区等场景，主要提供 3 个核心能力：

理解客户意图、自然回答问题，自动处理约 90% 的常见问题，将复杂问题智能转接人工客服，为客户提供更高效自然的服务体验。

RAG 驱动的 AI 知识库，清晰界定问答边界：无需重建知识来源，支持接入问答对、网页（URL/Sitemap）、通用文档（含 PDF/Office），以及飞书/钉钉等第三方知识库。你现有的文档站和历史 FAQ 无需改造，可以直接转化为可用的「答案库」。

基于真实会话，每周自动整理高频问题和知识缺口清单，告诉管理员“大家最近在问什么、哪里没覆盖”，方便管理员把缺口补成问答对/文档，持续提高命中率。

KoalaQA 的使用体验是怎样的？

假设个场景，如果你是某产品/售后负责人，你或许会经历：

如果你是：

• 有售后/客服压力的产品团队

• 有开发者支持/用户社区的团队

• 有大量内部答疑（IT/HR/流程制度）的团队

都可以免费部署一套体验一下～

KoalaQA 支持 Docker 一键快速搭建，接入 AI 模型后即可使用。

bash -c "$(curl -fsSL https://release.baizhi.cloud/koala-qa/manager.sh)"

或许你会发现，虽然很多团队把售后当成本中心，但实际上：

• 每一次回答，都是一次“产品教育”

• 每一次沉淀，都是一次“知识资产增值”

• 每一次减少重复，都是一次“组织效率升级”

觉得 KoalaQA 还不错的家人们，辛苦大家为我们的 GitHub 仓库点个 star。

GitHub 链接（复制链接至浏览器查看）：

https://github.com/chaitin/KoalaQA 

如果你也在被 “重复答疑、知识分散、客服成本” 困扰，欢迎加入技术交流群和其他使用者一起讨论。

（传送门）