GitHub 星數逾 5 萬！阿里巴巴($BABA) OpenCodeReview 支援 Solidity 規則

阿里巴巴（Alibaba）的 AI 程式碼審查工具 OpenCodeReview 在 GitHub 上的星數超過 5 萬，官方規則清單也納入 Solidity 與 Vyper。這些規則支援相關語言的程式碼審查，但不代表工具已具備專業智慧合約安全稽核能力。

14 日 GitHub 儲存庫頁面顯示，OpenCodeReview 有 51.0k 顆星、3.8k 次 fork。這兩項數字經過四捨五入，無法反映精確數量或近期成長幅度。公開儲存庫採用 Apache-2.0 授權。

OpenCodeReview 是一款命令列工具，會一併檢視開發者修改的程式碼及既有檔案脈絡，並產生審查意見。開發者依照既定流程選取檔案、套用規則後，大型語言模型（LLM）代理會檢查程式碼，並指出適合留下評論的位置。

阿里巴巴在儲存庫中表示，OpenCodeReview 最初是公司內部使用的 AI 程式碼審查輔助工具。公司稱，過去兩年有數萬名開發者使用，並找出數百萬項缺陷；這些使用情況與數字是阿里巴巴提供的資料。

阿里巴巴的官方規則文件將副檔名為 .sol 的檔案連結至 Solidity 智慧合約規則，將 .vy 檔案連結至 Vyper 規則。清單也包含適用於 Verilog、SystemVerilog 與 VHDL 檔案的規則。

這份規則清單表示工具支援審查這些語言的程式碼，並未證明它具備專業智慧合約安全稽核能力，也未驗證其實際晶片設計檢查效能。

一篇有阿里巴巴研究人員參與的預印本論文，使用 AACR-Bench 評估 OpenCodeReview v1.3.1。該基準測試涵蓋 50 個開源儲存庫的 200 個 PR、10 種程式語言及 1,505 則審查評論。

研究團隊以 6 種 LLM 後端評估工具。論文指出，在可比較的設定下，OpenCodeReview 的 SEM-F1 高於 Claude Code 與以 GPT-5.5 為基礎的 Codex；與 Codex 的比較僅限於 GPT-5.5 設定。

最高 SEM-F1 為 25.10%，同一條件下的精確率為 33.90%，召回率為 20.00%。研究團隊並表示，與 Claude Code 相比，OpenCodeReview 使用的 token 數量少 5 至 15 倍。

評估過程由 LLM 評審判斷審查評論與既有標準答案在語意上是否一致，因此結果反映的是論文設定的基準測試與評估方式。

研究團隊也指出，評估用的儲存庫可能未涵蓋各產業的程式碼庫及領域專用語言。SEM-F1 不衡量評論的可執行性、清晰度或嚴重程度，論文也未提供將測試結果推廣為智慧合約稽核效能的依據。

GitHub 使用者案例頁面上，一名將任職公司標示為 Wisk.aero 的使用者表示，該工具正用於 CI 初期概念驗證（PoC），向開發者提供建議，但功能尚不足以作為必要的合併門檻。一名將公司標示為 KUKA Robotics 的使用者也表示，會用它審查 PR。兩項內容都是使用者自行提供的說法，並非公司正式採用資料。

11 月 7 日，一名使用者在 GitHub issue 中回報，將 OpenCodeReview v1.13.6 串接 GitHub Copilot API 與 Claude 模型時，第一個 choices 以外的工具呼叫未被納入。這項回報涉及特定整合環境。

9 月 10 日發布的 GitHub 資安公告說明，低於 1.11.1 的版本存在 rule.json 漏洞。若在審查主機上執行攻擊者控制的儲存庫，攻擊者可能讀取最多 512KB 的 .md、.txt 或 .markdown 檔案，並將內容傳送給已設定的 LLM 服務提供者。

公告列出的風險情境之一，是自架管線會簽出不受信任的分支。修正版本為 1.11.1。