2、实际落地场景层面的局限性

除了技术层面，数据安全、法律合规和成本等因素也使得 GPT 难以用于生产：

a)  企业内部数据安全问题

GPT 这类大型模型目前不支持私有化部署，只能通过 API 接口将代码发送到远程服务进行分析。由于代码是相对敏感的数据，一旦数据出了内网，就有可能造成不可控的数据泄露问题。这就意味着，对于很多行业客户来说，使用 GPT 进行代码安全检测是完全不合规的

b)  计算成本问题

GPT 的每个请求都需要一定的计算资源和时间来得出结果，使用 GPT 进行代码安全检测的成本可能会比现有的 SAST 工具更高。为了弥补这些成本，OpenAI 的 API 是需要付费使用的，收费模式如下表所示，一个大项目每次扫描可能就需要几美元。因此，使用 GPT 进行代码安全检测时，需要考虑高额的 API 成本问题。

虽然GPT技术不能直接替代SAST工具，但利用其能力可以很好的提高SAST产品的使用效果和体验。

基于我们的测试结果，我们认为GPT技术可以在以下场景有较为明确的落地机会，Xcheck产品在后续的迭代中也会新增相关的功能和能力，敬请期待。

1、面向SAST产品用户

a)  提供最佳修复建议

GPT 可以基于 SAST 工具发现的漏洞，分析实际漏洞，并根据代码结构、漏洞类型等因素，提供更贴合实际情况的修复代码和指引。相比固定的修复建议和样例代码，这种个性化的修复建议可以帮助研发人员更快地解决漏洞，提高工作效率。

b)  智能审计助理

在使用 SAST 工具缺陷审计时，可以嵌入 GPT 作为审计助理，通过内置的一系列提示词，既可以智能分析漏洞，提供详细的解释和分析，并确定漏洞是否真实有效，也可以让用户和 GPT 进行交互式对话，例如，开发人员可以询问有关漏洞的危害、常见的利用方式等问题，从而更好地理解漏洞，并快速解决问题。这种智能化的审计助理可以帮助用户更好地掌握漏洞信息，提高审计的准确性和效率，提升用户体验。

c)  辅助编写自定义规则

GPT 可以根据要求提取出代码中的关键信息，并按照指定格式生成 SAST 工具可用的规则。帮助用户更快地生成规则，提高规则的准确性和可用性，降低规则编写的工作量，从而更好地检测潜在的漏洞或者降低误报。

d)  辅助开发安全培训与教育

GPT 技术可以帮助开发安全团队建设企业内部的开发安全知识库及规范，用于为开发人员提供编码规范和安全编程的实践教程

2、面向 SAST 厂商

a)  提高检测能力

虽然在复杂的代码场景中  GPT 的能力不足，但是在简单的代码片段中，它可以准确地理解代码中的语义内容，包括变量类型、函数调用关系、变量值的含义等，相比根据专家经验来提取信息，GPT 给出的信息更为贴合实际情况。SAST 产品可以基于这些信息，在漏洞分析过程中更好地理解代码，从而减少漏报和误报。

b)  生成漏洞样本

GPT 可以根据代码的结构和特征，自动化地生成各种语言、框架和库的漏洞代码，并作为数据集用于 SAST 产品能力评测、算法优化或模型训练等方面。相比传统的数据集构造方式，GPT 生成的样本更贴近真实代码，并且成本更低。