आर्म का मेटिस: एक ओपन-सोर्स AI सुरक्षा ढांचा जो कोड की गहरी खामियों को पकड़ता है

मेटिस क्या है?

मेटिस एक ओपन-सोर्स, एजेंटिक AI सुरक्षा ढांचा है जिसे आर्म की प्रोडक्ट सिक्योरिटी टीम ने विकसित किया है। इसका उद्देश्य पारंपरिक स्टैटिक एप्लिकेशन सिक्योरिटी टेस्टिंग (SAST) उपकरणों की सीमाओं को पार करना है। जहां पारंपरिक उपकरण केवल पैटर्न मिलान (pattern matching) पर निर्भर रहते हैं, वहीं मेटिस कोड को अर्थपूर्ण रूप से समझने के लिए बड़े भाषा मॉडल (LLMs) का उपयोग करता है। यह परियोजना github.com/arm/metis पर होस्ट की गई है और इसे व्यवसाय-अनुकूल अपाचे 2.0 लाइसेंस के तहत जारी किया गया है ।

LLM और RAG का उपयोग कैसे करता है?

मेटिस की मुख्य शक्ति केवल LLM के उपयोग में नहीं, बल्कि उसे रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) के साथ जोड़ने में है ।

• अर्थपूर्ण तर्क (Semantic Reasoning): LLM कोड को एक इंसान समीक्षक की तरह पढ़ता है, न कि केवल निश्चित नियमों के आधार पर। यह डिज़ाइन खामियों और जटिल तर्क त्रुटियों को पकड़ सकता है जो लिंटर्स या पारंपरिक SAST उपकरणों से छूट जाती हैं ।
• RAG के माध्यम से संदर्भ: यह प्रणाली प्रासंगिक परियोजना संदर्भ – जैसे आर्किटेक्चरल पैटर्न, पिछले समीक्षा निष्कर्ष, और कोडिंग मानक – को पुनर्प्राप्त करती है और उसे LLM के विश्लेषण में शामिल करती है। यही संदर्भपरक फ़िल्टरिंग पारंपरिक विश्लेषण की तुलना में झूठी सकारात्मकताओं (False Positives) को नाटकीय रूप से कम करने की कुंजी है ।

यह ढांचा एक कमांड-लाइन उपकरण के रूप में डिज़ाइन किया गया है, जिसमें एक प्लगइन आर्किटेक्चर है। इसका मतलब है कि आप इसे नई प्रोग्रामिंग भाषाओं और विभिन्न LLM बैकएंड (जैसे GPT-4, Gemini, या अन्य) के लिए आसानी से विस्तारित कर सकते हैं ।

130+ आंतरिक परियोजनाओं में दायरा और भाषा समर्थन

आर्म वर्तमान में 130 से अधिक सॉफ्टवेयर परियोजनाओं में मेटिस का आंतरिक रूप से उपयोग कर रहा है, और 2026 के अंत तक इसे पूरी कंपनी में व्यापक रूप से अपनाने की योजना है ।

• प्रारंभिक भाषाएं: लॉन्च के समय इसका प्राथमिक ध्यान C और C++ पर था ।
• विस्तारित भाषाएं: प्लगइन प्रणाली की बदौलत, अब यह Python, Rust, TypeScript और Solidity जैसी अन्य भाषाओं का भी समर्थन करता है ।

प्रदर्शन के दावे: क्या 95% सही सकारात्मक दर का आंकड़ा सही है?

आर्म द्वारा जारी आंतरिक बेंचमार्क बताते हैं कि मेटिस अग्रणी स्टैटिक विश्लेषण उपकरणों की तुलना में 10 गुना अधिक सही सकारात्मक (True Positive) दर और लगभग 50% कम गलत सकारात्मक (False Positive) दर प्रदान करता है ।

महत्वपूर्ण बात: जहां तक उपलब्ध प्राथमिक स्रोतों का सवाल है, मुझे कोई ऐसा आधिकारिक दस्तावेज़ नहीं मिला जो विशेष रूप से "~95% सही सकारात्मक दर" का उल्लेख एक प्रमुख आंकड़े के रूप में करता हो। आर्म द्वारा प्रकाशित सामग्री पूर्ण आंकड़े की बजाय सापेक्ष सुधार (10x बेहतर TP दर, ~50% कम FP) पर जोर देती है। यह 95% का आंकड़ा संभवतः किसी विशिष्ट आंतरिक परियोजना उपसमूह, तीसरे पक्ष के विश्लेषण, या किसी हालिया अपडेट से आया हो सकता है; लेकिन यहां समीक्षा किए गए प्राथमिक स्रोतों में इसकी पुष्टि नहीं होती। यदि यह सटीक संख्या आपके लिए महत्वपूर्ण है, तो मैं नवीनतम मीट्रिक्स के लिए सीधे मेटिस GitHub रीडमी या आर्म के न्यूज़रूम की जाँच करने की सलाह दूंगा।

आर्म ने इसे अपाचे 2.0 के तहत ओपन-सोर्स क्यों किया?

आर्म का कहना है कि मेटिस को ओपन-सोर्स करना पूरे सॉफ्टवेयर पारिस्थितिकी तंत्र की सुरक्षा को बड़े पैमाने पर बेहतर बनाने की एक व्यापक रणनीति का हिस्सा है ।

• AI-संचालित भेद्यता खोज का दबाव: AI मॉडलों ने भेद्यता स्कैनिंग की गति को नाटकीय रूप से बढ़ा दिया है, लेकिन साथ ही वे निम्न-गुणवत्ता, उच्च-शोर वाली रिपोर्टों की बाढ़ भी उत्पन्न कर रहे हैं, जो डेवलपर्स और मेंटेनर्स को अभिभूत कर देती हैं । मेटिस RAG की मदद से गुणवत्ता की इस समस्या को हल करना चाहता है।
• पारिस्थितिकी तंत्र का लाभ: उपकरण को मुफ्त में उपलब्ध कराने से, आर्म को सामुदायिक योगदान, विविध कोडबेस पर व्यापक परीक्षण, और उस सॉफ्टवेयर आपूर्ति श्रृंखला में सुरक्षा में सुधार का लाभ मिलता है जिस पर आर्म का हार्डवेयर निर्भर करता है ।
• लाइसेंस का चुनाव: अपाचे 2.0 एक अनुमोदक (permissive) लाइसेंस है, जो किसी भी कंपनी या डेवलपर को बिना किसी सख्त कॉपीलेफ्ट शर्तों के इस उपकरण का उपयोग, संशोधन और एकीकरण करने की अनुमति देता है ।

मुख्य निष्कर्ष

मेटिस आर्म द्वारा AI-संचालित सुरक्षा समीक्षा के प्रति एक गंभीर प्रतिबद्धता को दर्शाता है। इसकी वास्तुकला (LLM + RAG + एजेंटिक समीक्षा लूप), 130+ परियोजनाओं में वास्तविक तैनाती, और प्रभावशाली बेंचमार्क (10x बेहतर TP दर, ~50% कम FP) इसे एक महत्वपूर्ण उपकरण बनाते हैं। हालाँकि, "~95%" सही सकारात्मक दर का विशिष्ट दावा प्राथमिक स्रोतों में पुष्ट नहीं है, और इसे सावधानी से देखा जाना चाहिए।