51.0k ดาวบน GitHub: OpenCodeReview ของ Alibaba รองรับกฎ Solidity

OpenCodeReview เครื่องมือตรวจโค้ดด้วย AI ของอาลีบาบา (Alibaba, $BABA) มียอดแสดงดาวบน GitHub มากกว่า 50,000 ดวง โดยรายการกฎอย่างเป็นทางการมีข้อกำหนดสำหรับ Solidity และ Vyper ด้วย

เมื่อวันที่ 14 หน้า repository บน GitHub แสดงดาว 51.0k และ forks 3.8k ตัวเลขทั้งสองถูกปัดเศษ จึงไม่แสดงจำนวนดาวที่แน่นอนหรืออัตราการเพิ่มขึ้นในช่วงที่ผ่านมา ส่วน repository สาธารณะใช้สัญญาอนุญาต Apache-2.0

OpenCodeReview เป็นเครื่องมือบรรทัดคำสั่งที่ตรวจโค้ดซึ่งนักพัฒนาแก้ไข โดยพิจารณาบริบทของไฟล์เดิมประกอบด้วย เมื่อเลือกไฟล์ตามขั้นตอนที่กำหนดและเชื่อมกฎแล้ว เอเจนต์โมเดลภาษาขนาดใหญ่ (LLM) จะตรวจโค้ดและระบุตำแหน่งสำหรับแสดงความคิดเห็น

อาลีบาบาระบุใน repository ว่า OpenCodeReview เริ่มต้นจากเครื่องมือช่วยตรวจโค้ดด้วย AI ภายในบริษัท บริษัทกล่าวว่าตลอด 2 ปีที่ผ่านมา มีนักพัฒนาหลายหมื่นคนใช้งานและพบข้อบกพร่องหลายล้านรายการ ตัวเลขการใช้งานนี้เป็นข้อมูลที่บริษัทนำเสนอ

เอกสารกฎอย่างเป็นทางการของอาลีบาบากำหนดให้ไฟล์นามสกุล .sol ใช้กฎตรวจสมาร์ตคอนแทรกต์ Solidity และไฟล์ .vy ใช้กฎ Vyper รายการกฎยังครอบคลุมไฟล์ Verilog, SystemVerilog และ VHDL ด้วย

รายการกฎดังกล่าวแสดงว่าเครื่องมือรองรับการตรวจโค้ดภาษาเหล่านี้ แต่ไม่ได้ยืนยันว่าเป็นการตรวจสอบความปลอดภัยสมาร์ตคอนแทรกต์ระดับผู้เชี่ยวชาญ หรือพิสูจน์ประสิทธิภาพในการตรวจสอบการออกแบบชิปจริง

งานวิจัยฉบับเผยแพร่ล่วงหน้าซึ่งมีนักวิจัยจากอาลีบาบาร่วมเขียน ประเมิน OpenCodeReview v1.3.1 ด้วย AACR-Bench ชุดทดสอบนี้ประกอบด้วย PR 200 รายการจาก repository โอเพนซอร์ส 50 แห่ง ครอบคลุม 10 ภาษา และความคิดเห็นจากการตรวจสอบ 1,505 รายการ

คณะวิจัยประเมินเครื่องมือด้วย LLM backend 6 รูปแบบ งานวิจัยรายงานว่า ภายใต้การตั้งค่าที่เปรียบเทียบกันได้ OpenCodeReview ได้ค่า SEM-F1 สูงกว่า Claude Code และ Codex ที่ใช้ GPT-5.5 โดยการเปรียบเทียบกับ Codex จำกัดอยู่เฉพาะการตั้งค่า GPT-5.5

ค่า SEM-F1 สูงสุดอยู่ที่ 25.10% โดยภายใต้เงื่อนไขเดียวกันมี precision 33.90% และ recall 20.00% คณะวิจัยระบุว่าเครื่องมือใช้โทเคนน้อยกว่า Claude Code 5–15 เท่า

การประเมินใช้ LLM เป็นผู้ตัดสินว่าความหมายของความคิดเห็นจากเครื่องมือตรงกับคำตอบอ้างอิงเดิมหรือไม่ ดังนั้นผลลัพธ์จึงขึ้นอยู่กับชุดทดสอบและวิธีประเมินที่งานวิจัยกำหนด

คณะวิจัยระบุว่ารายการ repository ที่ใช้ประเมินอาจไม่ครอบคลุมฐานโค้ดของอุตสาหกรรมและภาษาเฉพาะทางทั้งหมด อีกทั้ง SEM-F1 ไม่ได้วัดว่าความคิดเห็นนำไปปฏิบัติได้ชัดเจน หรือระบุความรุนแรงของปัญหาได้เพียงใด งานวิจัยไม่ได้แสดงหลักฐานที่ใช้สรุปผลไปถึงประสิทธิภาพการตรวจสอบสมาร์ตคอนแทรกต์

ผู้ใช้รายหนึ่งที่ระบุว่าทำงานกับ Wisk.aero เขียนในกระดานกรณีศึกษาของผู้ใช้ GitHub ว่าใช้เครื่องมือนี้ทดลองขั้นต้นใน CI เพื่อส่งข้อเสนอแนะให้นักพัฒนา แต่ฟังก์ชันยังไม่เพียงพอสำหรับใช้เป็นเกณฑ์บังคับผ่าน ส่วนผู้ใช้ที่ระบุว่าทำงานกับ KUKA Robotics ก็เขียนว่าใช้ตรวจ PR เช่นกัน ข้อมูลทั้งสองเป็นการรายงานด้วยตนเองของผู้ใช้ และไม่ใช่เอกสารยืนยันการนำไปใช้ระดับบริษัท

ใน GitHub issue เมื่อวันที่ 7 พฤศจิกายน ผู้เขียนรายงานว่าเมื่อเชื่อม OpenCodeReview v1.13.6 เข้ากับ GitHub Copilot API และโมเดล Claude การเรียกใช้เครื่องมือที่อยู่นอก choices รายการแรกไม่ปรากฏ รายงานนี้กล่าวถึงสภาพแวดล้อมการเชื่อมต่อเฉพาะของผู้ใช้รายหนึ่ง

ประกาศความปลอดภัยสาธารณะบน GitHub ที่เผยแพร่เมื่อวันที่ 10 กันยายน อธิบายช่องโหว่ใน rule.json ของเวอร์ชันที่ต่ำกว่า 1.11.1 หากนำ repository ที่ผู้โจมตีควบคุมมารันบนโฮสต์ตรวจโค้ด ผู้โจมตีอาจอ่านไฟล์ .md, .txt และ .markdown ได้สูงสุด 512KB แล้วส่งไฟล์ไปยังผู้ให้บริการ LLM ที่ตั้งค่าไว้

ประกาศระบุเงื่อนไขเสี่ยง เช่น pipeline ที่องค์กรดูแลเองและ checkout branch ที่ไม่น่าเชื่อถือ ส่วนเวอร์ชันที่แก้ไขช่องโหว่แล้วคือ 1.11.1