GitLab 把 Claude Mythos 5.1 接进业务逻辑安全扫描，CEO 宣布用免费额度请客户跑一轮「安全冲刺」

核心背景与行业痛点

前沿模型让发现漏洞变得更快更便宜，但修复速度没跟上。Bill Staples 在博客中引用 Verizon 2026 DBIR：已被利用漏洞的修复中位时间从 2025 年的 32 天升到 43 天，31% 的入侵始于漏洞利用，首次成为头号入口。GitLab 另一篇博客称，随着 agent 写代码，其客户代码库规模最多增长了 500%。越权类漏洞是「少了一行检查」，模式匹配型 SAST 没有东西可匹配，最容易漏掉。

架构亮点与底层机制

Business Logic Security Analyzer 是 Duo Agent Platform 上的一个基础 flow。它先枚举应用入口，梳理「哪些记录属于哪个用户、哪些操作需要管理员」，再逐个读取处理函数，检查访问记录前是否执行了对应规则。官方示例中，refund_order 直接用请求里的 order_id 标记退款、没检查归属，因为查询是参数化的，污点规则不会报警，分析器则报为 CWE-639 严重级别并指出缺失的归属检查。模型只看到 GitLab 的提示词和客户仓库，结果和其它扫描一样进入漏洞报告，并受 GitLab 统一策略和审批门禁约束。

权威 Benchmark 与实测跑分对比

GitLab 没有公布该分析器的检出率或误报率等量化指标，早期访问的目标正是和客户一起找出它「对、错、漏」的地方。目前能确认的只有官方给出的背景数据：修复中位时间 43 天（去年 32 天）、31% 入侵始于漏洞利用、截至 4 月 CVE 披露量比 FIRST 2 月预测高 46%。

开发者实战落地与开箱指南

GitLab.com Ultimate 客户可通过客户经理申请早期访问，开通后在 Duo Chat 或 API 发起全仓扫描，或给项目挂 Business Logic 扫描配置来扫每个 MR。想试 Mythos 但没有 Ultimate 的团队，可以通过博客里的安全冲刺入口申请免费额度。注意每次扫描都按攻击面大小消耗 GitLab Credits。