Vercel Security Review 公测：每次 GitHub push 自动做漏洞审查，Vercel Agent 一键修复

核心背景与行业痛点

越来越多代码由 Agent 写出，而各 Agent 对安全审查的处理不一，很多时候根本不审。Vercel 指出前沿模型让漏洞更易被发现和利用，Security Review 想把漏洞审查变成每次 push 的默认动作。

架构亮点与底层机制

审查由 GitHub push 触发，只检查相对基线的改动；部署场景的基线是该分支上一次部署。Agent 读取 diff 与周边代码，追踪调用路径、检查已有防护，并在上报前复核。发现会去重并绑定首次出现的部署，合入生产后同样标记；后续不再检出时自动关闭。私有仓库还会加 GitHub check 和 PR 评论。

权威 Benchmark 与实测跑分对比

官方未公布检出率、误报率或与 CodeQL 等工具的对比。可核实的是计费：模型 token 按供应商原价，另收每百万 token 0.25 美元，11 月 10 日前审查免费。

开发者实战落地与开箱指南

Pro/Enterprise 团队在 Vercel Agent Settings 开启，可选部分项目。在 Security 仪表盘点 Fix with Vercel Agent，Agent 会先确认漏洞仍在，再做最小修复并更新测试；也可用 vercel security vulnerabilities 把发现交给 Claude Code、Codex 等自家 Agent。建议用 vercel security policy 写明团队规则，如“返回客户数据的接口必须校验归属”。