Arm Metis：用 AI 捉代碼邏輯漏洞嘅開源框架，點解要 Apache 2.0 開源？

以下是根據現有公開證據整理嘅內容——包括已確認嘅事實，同埋仲未獲確認嘅部分。

---

Metis 係咩來頭？

Metis 係一個由 Arm 產品安全團隊開發嘅開源、代理式 AI 安全框架。佢結合咗大型語言模型（LLM） 同檢索增強生成（RAG） 技術，專做深層、有上下文嘅安全代碼審查，專門偵測傳統靜態分析工具（SAST）成日走漏眼嘅邏輯錯誤（logic bugs）同設計缺陷（design flaws）。項目託管喺 github.com/arm/metis，並以 Apache 2.0 許可證 發佈 。

「Metis」呢個名嚟自希臘神話嘅智慧女神，象徵住工具識得「思考」代碼，而唔係單純配對模式 。

LLM + RAG 點樣協作？

傳統 SAST 工具靠簽名檔同規則配對做分析，遇到複雜邏輯或者橫跨多個檔案嘅漏洞就束手無策。Metis 嘅突破在於：

1. LLM 語義推理：用大型語言模型去「理解」代碼想做乜，而唔係死記規則。咁樣可以先找出可疑邏輯（例如權限檢查被繞過、競爭條件）。
2. RAG 上下文過濾：透過 RAG 技術，先喺代碼庫擷取相關嘅背景資料——例如架構模式、之前嘅審查結果、編碼慣例——然後餵畀 LLM 做分析。呢層「上下文濾鏡」大大減少咗誤報 。
3. 插件架構：Metis 係一個命令列（CLI）工具，採取插件式設計，可以靈活擴展去支援新程式語言或者唔同嘅 LLM 後端 。

簡單講，就係 LLM 負責「諗」代碼語義，RAG 負責「查」相關背景，兩者配合就做到比傳統工具更精準嘅深層審查。

覆蓋範圍：130+ 內部項目同多語言支援

Arm 正喺內部超過 130 個軟件項目入面用緊 Metis，而且計劃喺 2026 年底前擴展到全公司嘅軟件開發 。最初發布時主要支援 C 同 C++ ，但透過插件系統，而家已經覆蓋 Python、Rust、TypeScript，甚至可以延伸去 Solidity 等其他語言 。框架嘅核心係語言無關（language-agnostic）嘅，只要有對應插件就得。

性能聲稱：真陽性率飆升，誤報大減

Arm 公開嘅內部基準測試數據顯示，同頂尖嘅傳統靜態分析工具相比，Metis 做到：

• 真陽性率（True Positive Rate）最高提升 10 倍
• 誤報（False Positive）減少約 50%

不過要留意，筆者查證過現有嘅公開來源，包括 Arm 官方新聞稿、開發者博客同 GitHub 文檔，都冇明確提及一個「~95% 真陽性率」嘅絕對數字。Arm 對外溝通嘅重點係「相對改善幅度」（10x TP、~50% 減少 FP），而唔係一個固定百分比。坊間流傳嘅 ~95% 數字，可能係嚟自某個特定內部項目子集嘅結果、第三方分析，或者係後續更新嘅版本，但目前喺主要一手來源搵唔到確切紀錄。

點解要揀 Apache 2.0 開源？

Arm 表明，將 Metis 開源係一個更大策略嘅一部分：幫助成個軟件生態系統喺大規模下提升安全性 。選擇 Apache 2.0 呢個寬鬆（permissive）、對商業友好嘅許可證，有幾個關鍵原因：

1. 應對 AI 引發嘅漏洞報告氾濫：AI 模型雖然大幅加快咗漏洞掃描速度，但同時產生大量低質素、高雜音嘅報告，令維護人員疲於奔命 。Metis 嘅目的就係透過 RAG 減低誤報，同時間捕捉更深層嘅缺陷，解決「質素」問題。
2. 生態系統槓桿效應：將工具免費開放，Arm 可以受惠於社群貢獻、喺更多元嘅代碼庫進行測試，最終強化埋 Arm 硬件依賴嗰條軟件供應鏈嘅安全性 。
3. 行業協作：用標準嘅寬鬆許可證開源，符合 Arm 嘅整體開源策略，吸引其他產品安全團隊、漏洞賞金計劃同 CI/CD 管線採用。Apache 2.0 嘅專利授權條款，亦令企業用起嚟更放心 。

主要注意事項

現有證據可以確認：Metis 嘅架構（LLM + RAG + 代理式審查迴圈）、佢喺 130+ 內部項目嘅部署、透過插件支援多種程式語言、以 Apache 2.0 開源，以及基準測試嘅相對改善數據（10x TP rate、~50% 減少 FP）。

唯獨「~95% 真陽性率」呢個絕對數字，喺筆者查閱嘅 Arm 主要來源入面搵唔到——佢可能反映緊某個特定測試子集嘅結果，或者係社群量度得出嘅推論。如果呢個數字對你好重要，建議直接去 Metis 嘅 GitHub 頁面 或者 Arm 最新嘅新聞稿，查閱最精確嘅內部指標。