obsidian过去两年，大模型的代码理解能力进步得很快。于是，一个看起来很自然的想法出现了：把整个代码仓库丢给模型，让它找漏洞。我们在研发 MonkeyScan 的过程中反复验证过，这条路没有那么简单。大模型很重要，但只靠大模型，做不好真实项目的代码安全审计。真正决定最终效果的，除了模型能力，还有模型之外的整套 Harness：怎样理解一个陌生仓库，怎样找到真正值得分析的攻击面，怎样跨文件追踪数