Mobbin 几乎即时完成安全问题分类处理

“我想不出还有别的办法能撑起这个规模。

“安全问题先让 Hacktron 过第一遍，帮了我们大忙。”

Jian Jie Liau
首席技术官

关于 Mobbin

Mobbin 已成为现代产品团队离不开的基础设施。超过 200 万名设计师在这里学习全球顶尖数字产品的设计，资料库收录了超过 60 万个界面，均来自已上线的移动应用、Web 应用和网站。

挑战：问题上线后才暴露，没人认领

AI 大幅加快了 Mobbin 工程团队写代码、交付代码的速度。

安全问题往往要等功能上线后才冒出来。到那时已经没有明确的负责人，团队得为每个问题找到合适的工程师去排查。

“以前，安全问题要等功能上线后才暴露出来。没有指定负责人，我们还得找人来接。”

Jian Jie Liau
首席技术官

挑战：人工审查难以应对跨模块改动

用 Hacktron 之前，安全审查全靠人工。工程师自己写测试、自己审 PR。小而独立的改动这样做没问题，跨模块改动就难了，因为任何一位审查人能考虑到的，只有团队已经看到的系统交互。

“一般来说，小的可测试单元没问题。但遇到跨模块改动，测试用例能覆盖多少，取决于团队对代码库里各系统如何交互的理解。”

Jian Jie Liau
首席技术官

随着代码生成越来越快，Mobbin 需要一种跟得上的安全审查：给每次改动带上更完整的应用上下文，帮工程师趁代码还新鲜时做出判断。

Hacktron 把安全审查带进每个 PR

现在，Mobbin 用 Hacktron 为每个 PR 做第一轮安全审查。Hacktron 发现的问题会直接出现在 PR 审查流程中，安全审查和代码同步推进，不用等到上线之后。Hacktron 结合整个代码库审查每次改动，追踪它与应用的交互，并直接在 GitHub 中发布审查结果。

“用了 Hacktron，安全问题会出现在 PR 审查流程里。PR 归谁，安全问题就归谁。”

Jian Jie Liau
首席技术官

代码一有改动，Hacktron 就会重新审查。工程师在 PR 还没合并时就能看到问题，查看证据，并做出最终判断。

“我们交付代码的速度大大加快了。

“确实需要一个自动化的 PR 安全审查工具，多一双眼睛帮忙把关。”

Jian Jie Liau
首席技术官

• 用 Hacktron 之前：问题往往上线后才暴露，没有明确的负责人。
• 用 Hacktron 之后：问题在 PR 审查阶段就出现，安全随改动一起处理。

完整代码库上下文

Hacktron 把应用上下文带进决策，让问题分类处理更快。

Hacktron 能把一次改动和应用中其他位置的代码关联起来，指出只看孤立 diff 很难发现的安全影响。它还能识别结构性改动：随着代码库演进，这些改动可能形成一条漏洞路径。

“我很欣赏的一点是，Hacktron 不只是检查已有的安全漏洞。

“它还会标出高风险的攻击面或改动。这些地方写的时候没有风险，但因为代码的组织方式，后续改动有可能在这里引入漏洞。”

Jian Jie Liau
首席技术官

成效：从发现到决策，只需几分钟

“因为 Hacktron 就在 PR 审查流程里，工程师几乎能马上响应。

“PR 归谁，安全问题就归谁。”

Jian Jie Liau
首席技术官

Mobbin 使用 Hacktron 的前八周里，有 21 个问题得出最终结论。分类处理耗时中位数约 32 分钟，最久的一个也在 10.3 小时内完成分类处理。Hacktron 把安全审查移进每个 PR，并围绕每个问题整合应用上下文，分类处理不再是上线后的交接环节，而成了日常开发流程的一部分。

对一支 AI 原生的工程团队来说，安全审查如今能跟上代码生成的速度，问题提早暴露，改动还在进行时就能处理。