多模型對抗覆核
一個模型找洞，另一個不同家族的模型試著駁倒它。跨家族的覆核才有降誤報效果，單一模型的自我確認不算數。
- 跨家族 finder／verifier 分工
- 每個候選都記錄覆核投票
- 誤報在報告裡看得到被誰、用什麼理由駁回
DUDU STUDIO · 多模型對抗式資安稽核
讓多個 AI 模型互相拆台，把真漏洞挑出來
Vettalon 不靠單一模型的自我判斷。它讓不同家族的模型分頭找洞、再交叉覆核彼此的發現，壓下誤報，留下值得人看的候選。程式碼在你的機器上分析，不經我們手。
開源核心採 Apache 2.0，可自行取用。企業版與商業授權由嘟嘟數位直接提供。
CAPABILITIES｜核心能力
一條管線把靜態掃描、多模型 AI 審查、對抗式覆核與沙箱 PoC 串起來。
碼不離機
檢測在你的電腦上跑。AI 審查時，程式碼片段只送到你自己設定的模型（你的 CLI 帳號或 API 金鑰，本機 Ollama 則完全不出機器）。Vettalon 不經手、不轉售。
- 預設零網路
- 模型後端你自己挑
- 報告與 SARIF 寫出前自動遮蔽秘密
供應鏈獵捕
給企業稽核相依的 OSS 套件原始碼，找尚未登錄成 CVE 的新漏洞，驗證後替企業向上游負責任揭露。私有碼不出境，只送相依的 name@version。
- Cargo／npm／pip／Go lockfile
- OSV 分「已知／可能新」
- 只產揭露草稿，永不自動送出
HOW IT WORKS｜怎麼運作
深掃的每個階段都留痕，報告寫出前先跑驗證器。
- 01Intake
統計語言、找進入點、讀 git 歷史把常出安全修補的檔案標為熱點，再依風險排序模組。
- 02多模型找洞
前 N 個高風險模組分配給各 finder；高風險模組自動再交一家不同家族覆審。
- 03對抗式覆核
每個候選交給不同家族的 verifier 試圖駁倒。覆核獨立性只算有給出判定的覆核。
- 04沙箱 PoC
對合理的高風險發現，在斷網、唯讀、非 root 的 Docker 容器裡嘗試產生並執行最小 PoC。
- 05報告
輸出 JSON／SARIF，寫出前一律跑驗證器；可利用性分級、CWE／CAPEC 攻擊情境、提交草稿一併附上。
BENCHMARKS｜基準數字
以下數字來自可重現的基準測試，照實寫，連限制也一併列出。
9/9
聚焦召回
脆弱檔在掃描範圍內時，9 個真實 CVE 全部識別出正確檔案、行號與漏洞類別。
0
OWASP 誤報
OWASP Benchmark 160 案：91% 召回、0 誤報（上界 ≤ 3.8%）。跨家族覆核把 7B 本機模型的誤報率 57%→0%。
8/9
Jev 排序 hit@40
選配的 metadata-only 排序把深掃命中從啟發式的 6/9 提到 8/9，只送 metadata、碼不離機。
整庫召回 5/9（脆弱檔是超大檔、落在頁數上限外時會漏）；我們把限制也寫清楚。
EDITIONS｜版本
開源核心夠你在 CLI／CI 裡用；企業版加上給人看的報告與桌面體驗。
vettalon（開源核心）
命令列稽核器：開源靜態掃描 + 多模型 AI 審查 + 對抗式覆核 + SARIF 輸出。適合塞進 CI、設政策門檻。
- scan / hunt / disclose 子命令
- SARIF 2.1 可上 GitHub code scanning
- 政策門檻 --gate 控 CI 結果
Vettalon Pro
桌面 App 與本機 dashboard、對齊台灣資安檢測報告慣例的企業報告（PDF／Word／HTML）、供應鏈獵捕與上游揭露草稿。讀同一份掃描 JSON，核心不依賴 Pro。
- 桌面 App＋本機 dashboard
- 企業報告 PDF／Word／HTML
- 供應鏈獵捕＋揭露草稿
FAQ｜常見問題
程式碼會被送到哪裡？
檢測在你的機器上執行。AI 審查時程式碼片段只送到你自己設定的模型（你的 CLI 帳號或 API 金鑰）；用本機 Ollama 則完全不出機器。Vettalon 不經手、不留存、不轉售。
為什麼要多個模型？
單一模型對自己的判斷沒有抵抗力。讓不同家族的模型互相覆核，才壓得下誤報。OWASP Benchmark 上，跨家族覆核把 7B 本機模型的誤報率從 57% 降到 0%。
選配的 Jev 排序會外洩程式碼嗎？
不會。Jev 只排序模組審查順序，送出的只有 metadata（路徑、大小、git 熱點數），送出前逐檔比對原始碼 fail-closed。預設關閉，要明確開啟才連網。
供應鏈獵捕會送出我的私有碼嗎？
不會。獵捕只連套件登錄處與 OSV，送出的只有相依的 name@version。審查的是相依套件的公開原始碼，你的私有碼不出境。揭露一律只產草稿，由人決定送不送。
開源版和企業版差在哪？
開源核心是完整的命令列稽核器，CI 需要的都有。企業版加上桌面 App、本機 dashboard、企業報告排版與供應鏈獵捕，讀的是同一份掃描 JSON。
GET STARTED｜開始使用