Arm Metis：用 AI 捉代碼邏輯漏洞嘅開源框架，點解要 Apache 2.0 開源？

簡單講，就係 LLM 負責「諗」代碼語義，RAG 負責「查」相關背景，兩者配合就做到比傳統工具更精準嘅深層審查。

覆蓋範圍：130+ 內部項目同多語言支援

Arm 正喺內部超過 130 個軟件項目入面用緊 Metis，而且計劃喺 2026 年底前擴展到全公司嘅軟件開發 。最初發布時主要支援 C 同 C++ ，但透過插件系統，而家已經覆蓋 Python、Rust、TypeScript，甚至可以延伸去 Solidity 等其他語言 。框架嘅核心係語言無關（language-agnostic）嘅，只要有對應插件就得。

性能聲稱：真陽性率飆升，誤報大減

Arm 公開嘅內部基準測試數據顯示，同頂尖嘅傳統靜態分析工具相比，Metis 做到：

• 真陽性率（True Positive Rate）最高提升 10 倍
• 誤報（False Positive）減少約 50%

不過要留意，筆者查證過現有嘅公開來源，包括 Arm 官方新聞稿、開發者博客同 GitHub 文檔，都冇明確提及一個「~95% 真陽性率」嘅絕對數字。Arm 對外溝通嘅重點係「相對改善幅度」（10x TP、~50% 減少 FP），而唔係一個固定百分比。坊間流傳嘅 ~95% 數字，可能係嚟自某個特定內部項目子集嘅結果、第三方分析，或者係後續更新嘅版本，但目前喺主要一手來源搵唔到確切紀錄。

點解要揀 Apache 2.0 開源？

Arm 表明，將 Metis 開源係一個更大策略嘅一部分：幫助成個軟件生態系統喺大規模下提升安全性 。選擇 Apache 2.0 呢個寬鬆（permissive）、對商業友好嘅許可證，有幾個關鍵原因：

1. 應對 AI 引發嘅漏洞報告氾濫：AI 模型雖然大幅加快咗漏洞掃描速度，但同時產生大量低質素、高雜音嘅報告，令維護人員疲於奔命 。Metis 嘅目的就係透過 RAG 減低誤報，同時間捕捉更深層嘅缺陷，解決「質素」問題。
2. 生態系統槓桿效應：將工具免費開放，Arm 可以受惠於社群貢獻、喺更多元嘅代碼庫進行測試，最終強化埋 Arm 硬件依賴嗰條軟件供應鏈嘅安全性 。
3. 行業協作：用標準嘅寬鬆許可證開源，符合 Arm 嘅整體開源策略，吸引其他產品安全團隊、漏洞賞金計劃同 CI/CD 管線採用。Apache 2.0 嘅專利授權條款，亦令企業用起嚟更放心 。

主要注意事項

現有證據可以確認：Metis 嘅架構（LLM + RAG + 代理式審查迴圈）、佢喺 130+ 內部項目嘅部署、透過插件支援多種程式語言、以 Apache 2.0 開源，以及基準測試嘅相對改善數據（10x TP rate、~50% 減少 FP）。

唯獨「~95% 真陽性率」呢個絕對數字，喺筆者查閱嘅 Arm 主要來源入面搵唔到——佢可能反映緊某個特定測試子集嘅結果，或者係社群量度得出嘅推論。如果呢個數字對你好重要，建議直接去 Metis 嘅 GitHub 頁面 或者 Arm 最新嘅新聞稿，查閱最精確嘅內部指標。