Google开源Mantis 挖漏洞Token省85%

【时间】2026 年 9 月 6 日 【地点】美国加利福尼亚州山景城（Google Cloud） 【人物】Google Cloud 员工安全工程师 Nick Galloway（Staff Security Engineer）、Mandiant 安全研究团队、Google 开源社区 【事件详情】Google Cloud 于 9 月 2 日在 GitHub 开源 AI 安全框架 Mantis，定位为「模块化、栈无关的安全审查技能套件」，可被 Gemini CLI、Antigravity CLI 等 AI 编程智能体调用，自动完成漏洞发现、复现和补丁生成。Mantis 针对 AI 代码扫描普遍存在的「幻觉漏洞」和低真实阳性率（true-positive rate，TP）痛点——Google 表示配置不佳的环境下 TP 率不足 7%——设计了 Critic 评审智能体 + 沙箱化漏洞复现 + 策略智能体分层验证流程。Mantis 通过对仓库历史、目录结构和威胁模型构建「分层安全摘要树」，将 Token 消耗削减超过 85%，同时保留代码库结构化信息。该项目与 Mandiant 8 月披露的 Agentic Vulnerability Discovery Harness（AVDH，2 天内发现 100+ 关键漏洞）一脉相承，是 Google 把内部 AI 安全流水线产品化、对外分发的关键一步。Mantis 已正式登陆 github.com/google/mantis，采用 Apache 2.0 许可证，但 Google 明确标注其为「演示项目、非官方支持产品」，要求所有漏洞发现必须经安全专家人工核验后方可上报。 【背景】AI 编程智能体大规模落地后，安全团队面临反向压力：开源维护者收到的「低质量 AI 自动漏洞报告」激增，传统 SAST 工具的 TP 率持续偏低。Mantis 试图通过「智能体监督智能体」的链式验证机制，把漏洞验证从「LLM 一遍扫描」升级为「发现—复现—批评—补丁」四阶段流水线。Mantis 的 15+ 模块化技能可通过磁盘共享状态顺序或并行执行，支持轻量模型（Flash/Lite）与重型模型分阶段混用，进一步降低运行成本。 【影响】1）对开发者：Mantis 直接接入 Gemini CLI 与 Antigravity CLI，无需额外基础设施即可在仓库内运行漏洞复现 + 补丁验证，降低企业 AppSec 团队接入门槛；2）对开源社区：免费、Google 分发的基线产品将抬高独立 AI 漏洞扫描初创公司的差异化门槛，必须在准确率、修复质量或工作流深度上做差异化；3）对 AI 安全方法论：分层摘要 + 沙箱复现 + 人工把关的模板可被复用到其他 AI 代码审查流水线；4）对企业安全运维：标志着 Google 把内部 AI 安全能力产品化、对外开源的清晰路径，与 Big Sleep（DeepMind × Project Zero 在 SQLite 中提前发现内存安全漏洞）一脉相承。 【总结】Google 开源 Mantis 是 AI 安全领域从「单次 LLM 扫描」走向「链式智能体验证 + 沙箱复现」的标志性节点，85% Token 削减与开源策略组合显著降低了企业接入门槛，但 Google 仍以「人工核验 + 沙箱隔离」作为不可松动的硬性护栏。 【参考来源】 1. https://www.infoq.com/news/2026/09/google-mantis-vulnerability-scan/ 2. https://theagenttimes.com/agents/article/google-open-sources-mantis-an-agentic-harness-that-validates-f1579892 3. https://www.ai-market-watch.com/news/google-details-mantis-an-open-source-ai-framework-cutting-vulnerability-scan-tok-ucaix0 4. https://snuqvir.com/article/google-s-mantis-revolutionizing-vulnerability-scanning-with-ai 5. https://aipulselab.tech/news/google-mantis-an-agentic-vulnerability-scanning-harness-for-reducing-false-positives-44b9fd 6. https://aiinsiders.net/article/google-open-sources-mantis-a-15-stage-ai-pipeline-for 7. https://www.helpnetsecurity.com/2026/08/19/google-mandiant-avdh-ai-vulnerability-discovery-tool/ 8. https://blog.ogwilliam.com/post/google-mantis-ai-harness-find-fix-bugs 9. https://github.com/google/mantis