Flounder 安全审计系统

这个 Agent 能做什么，适合哪些场景？

Flounder 是围绕现代编码代理构建的端到端安全审计系统，提供 CLI、React 仪表盘、REST API、pi 扩展和执行守护进程。它可从仓库、源码、软件包、项目链接、交易或地址准备审计材料，随后映射范围、深入审计、组合跨范围候选问题，并通过本地执行验证。模型生成的代码、PoC、依赖安装和测试在复制的工作区中运行；默认 OCI 沙箱会限制权限并可对审计命令禁用网络。系统跟踪范围、证据、发现和报告，并可在确认阶段针对真实目标复现问题。Flounder 面向公开源码或获授权目标；项目源码和提供方凭据保留在执行守护进程所在机器，但所用模型提供方可能需要认证。

运行 flounder run <clue> 时，Flounder 可准备目标源码与材料，再执行 map、dig、synthesize、verify、confirm 和 report 工作流；也可用 --source 直接审计已暂存的代码。模型读取源码及可选的项目文档、规格和历史材料，生成范围清单，并在隔离工作区编写和运行 PoC、测试或 harness。发现需要引用通过的本地命令证据；确认阶段可针对真实目标或本地 fork 复现。CLI、仪表盘和 REST API 会呈现运行状态、范围、发现、执行证据和 Markdown 报告。

1. 协议或合约团队可对公开源码或获授权代码运行盲审计，并以执行证据检查发现。
2. 漏洞赏金研究人员可让 Prepare 收集公开项目资料、部署和范围信息，再评估发现是否满足项目要求。
3. 事件响应人员可从可疑交易、地址或事件链接开始调查，并验证根因能否在本地真实环境中复现。
4. 审计人员可导入已有主张或指定文件、区域、范围，用 verify 或 audit --scope 运行针对性验证。
5. Flounder 维护者可显式启用维护者模式，通过 Evaluation 失败开展受约束的候选实验。

如何安装或部署这个 Agent？

需要 Node.js 24 LTS。源码安装步骤如下：

nvm use
npm install
npm run build
npm run sandbox:build

也可以把 Flounder 技能安装到 Codex 或 Claude Code：

npx skills add adshao/flounder --skill flounder -g -a codex -a claude-code

审计运行需要可用的沙箱运行时：默认 Docker 后端需要 Docker 或兼容运行时；Apple silicon macOS 上也可用 Apple container 运行时。所选模型提供方需要在执行守护进程上完成认证。

如何使用这个 Agent？

启动控制平面和仪表盘：

node dist/cli.js ui

给执行守护进程登录并检查提供方：

flounder daemon provider login openai-codex
flounder daemon provider check openai-codex

然后在仪表盘创建项目，填写审计任务或线索，选择执行守护进程和提供方配置，并启动运行。要从线索开始完整工作流：

flounder run <tx-or-address-or-project-or-repo-or-link>

要直接审计本地源码：

flounder run --target my-target --source ./src --build-root . --corpus ./docs

openai-codex 使用 pi 订阅/OAuth 认证；其他提供方需按模型设置指南在执行守护进程配置 OAuth 或 API 密钥。

这个 Agent 有哪些优点和局限？

这个 Agent 与同类方案有什么区别？

与相关度最高的同类 agent 并排比较关键指标。

FollowAgents 如何评估这个 Agent？

常见问题