Vercel 上线安全审查公测：每次 push 自动扫漏洞，11 月 10 日前免费

一人公司的代码库有个特点：写的人少，改的频率高。尤其是接上编码 agent 之后，一天推十几次是常态，很多还是直接推主干。这类仓库最容易出的不是复杂漏洞，是”某次改配置把密钥暴露到前端”这种一眼能看出来、但没人看的问题。

Security Review 就是冲着这个场景做的。它挂在 push 事件上，不是挂在 pull request 上——这条区别很关键：你绕过 PR 直接推生产分支，它照样扫。

它会给你什么

每条发现记录项目、环境、分支、commit，附一段说明、一个修复建议和 AI 判的严重度。有 PR 的时候它会把发现贴成 review comment 链回面板；公开仓库的细节只留在面板里，不往外贴。

修复路径有两条：点 “Fix with Vercel Agent”，它提出修改并开一个 PR，你不点合并就不会合；或者用 CLI 拉出来自己修——vercel security vulnerabilities，需要 Vercel CLI 65.10.0 以上。还能把单条发现导成 Markdown 或 JSON，直接喂给别的编码 agent。

另外可以写安全策略，用自然语言写在团队设置或项目设置里，告诉它你们怎么构建这套系统，减少误报。

要花多少钱

11 月 10 日之前免费。之后按 Vercel Agent 费率：模型推理按 provider 的 token 原价走、不加价，再叠一个 Vercel 自己的 token 费率，每百万 token 0.25 美元（输入、缓存、输出同价）。

这个计费方式决定了成本模型：**它跟你的推送次数和改动量成正比，不跟项目数量成正比。**一个 3000 行的仓库，每次推 50 行，一天推 20 次，成本就很低；一个 monorepo 每次推上千行、agent 还在一晚上反复重推，账单会很难看。

泼冷水

**Pro 及以上才有。**个人 Hobby 计划开不了，Pro 是每席位每月 20 美元起。如果你就一个静态站，这笔钱花得不值。
**它只读源码。**官方明确写了这不是安全审计，也不做运行时测试和渗透测试。它找的是代码里的模式化问题，不证明你没漏洞。
**每个 push 都跑，等于每个 push 都花钱。**11 月 10 日之后，agent 每修一行推一次的用法会直接变成成本项。这是最容易被忽略的一条。
**修复建议不能盲合。**AI 给的补丁经常”能跑但改变了行为”，尤其是权限判断和输入校验这两类。每个 PR 都得看 diff。

具体建议

11 月 10 日之前，把手上最要紧的那个仓库开起来，跑一周。这一周是免费的、也是最有信息量的一周——你能看到自己代码里到底有多少问题、以及一次审查实际烧多少 token。
开完之后先去漏洞面板看一天的成本。如果一天推 20 次就已经明显肉痛，说明你的流程该改的是推送频率，不是审查工具。
给 agent 加一条硬规矩：本地测试不过不许推。把 CI 当远程调试器的用法，在有按次计费的安全审查之后会变成双重浪费。
团队策略里写三句话就够：这套应用处理什么数据、哪些目录是敏感区、什么情况必须人工复核。写清楚这三句，误报能少一半。

开启入口在团队的 Agent 设置里，文档和公告都挂在下面。

原文：https://vercel.com/changelog/vercel-security-review-public-beta