超过5万星！阿里巴巴（BABA）代码审查工具支持Solidity规则

区块链文库报道：

阿里巴巴AI代码审查工具OpenCodeReview获GitHub 5万星

阿里巴巴（BABA）推出的AI代码审查工具OpenCodeReview在GitHub上获得的星标数已突破5万。值得注意的是，其官方规则列表中已包含针对虚拟货币智能合约语言Solidity和Vyper的专用审查项。

截至14日，GitHub存储库页面显示该工具已获得约5.1万个星标和3.8千次 Fork（分支复制）。由于这两个数值为四舍五入后的近似值，因此无法反映确切的星标总数或近期的增长幅度。该公开存储库采用Apache-2.0开源许可证。

工具原理与企业应用背景

OpenCodeReview是一款命令行工具，旨在协助开发者结合代码变更内容与现有文件语境生成审查意见。通过预设流程选择文件并关联相应规则，大型语言模型（LLM）代理即可自动执行代码审查并定位评论位置。

阿里巴巴在存储库说明中指出，OpenCodeReview最初作为内部AI代码审查辅助工具启动。据公司披露，在过去两年间，已有数万开发人员使用该工具，累计发现缺陷达数百万起。需注意的是，上述使用数据源自公司内部统计。

多语言支持与局限性说明

阿里巴巴发布的官方规则文档建立了文件扩展名与审查规则的映射关系：例如，.sol文件对应Solidity智能合约规则，.vy文件对应Vyper规则。此外，还包含了适用于Verilog、SystemVerilog及VHDL文件的硬件描述语言规则。

需要强调的是，该规则列表仅表示支持对这些特定语言的代码进行基础审查，并不代表其具备专业的智能合约安全审计能力，也不能直接证明其在实际芯片设计验证中的性能表现。

学术评估与性能对比

由阿里巴巴研究人员参与撰写的预印本论文中，通过AACR-Bench基准测试对OpenCodeReview v1.3.1版本进行了评估。该基准测试涵盖了来自50个开源存储库的200个Pull Request（PR），涉及10种编程语言，共计1505条审查注释。

研究团队在6种不同的LLM后端环境中对该工具进行了评测。论文报告称，在可比配置下，OpenCodeReview取得的SEM-F1指标高于基于Claude Code以及GPT-5.5的Codex工具。其中，与Codex的比较仅限于GPT-5.5配置场景。

数据显示，最高SEM-F1得分为25.10%，同期精确率为33.90%，召回率为20.00%。研究团队指出，相较于Claude Code，该工具的Token（令牌）消耗量减少了5至15倍。

在评估过程中，由LLM充当的评审员负责判断审查注释与现有标准答案在语义上是否一致。因此，这些结果仅反映论文所设定的基准测试与评估方法下的数值表现。研究团队也承认，评估用的存储库可能未能全面覆盖行业特定的代码库及领域专属语言。此外，SEM-F1指标并未衡量评论的可执行性、清晰度或严重程度。目前尚无充分依据将论文结果泛化为智能合约审计的实际性能指标。

用户反馈与安全公告

在GitHub的用户案例讨论区，有自称来自Wisk.aero的用户表示，该工具被用于向开发者发送建议的CI初期概念验证（PoC），但认为其功能尚不足以作为强制通过的审核标准。另一位自称来自KUKA Robotics的用户也表示已将工具应用于PR审查。这些内容均为用户的个人陈述，并非公司层面的正式引入资料。

另有一则于11月7日发布的GitHub Issue指出，当OpenCodeReview v1.13.6版本与GitHub Copilot API及Claude模型集成时，会出现首次选择之外的工具调用缺失问题。该Issue主要反映了特定集成环境下的用户体验反馈。

关于安全性，GitHub于9月10日发布的安全公告解释了1.11.1之前版本中rule.json存在的漏洞。公告指出，若攻击者控制的存储库在审查主机上运行，则可读取最多512KB的.md、.txt或.markdown文件，并将其发送给配置的LLM提供商。公告将“自身运营管道检出不可信分支”列为触发此风险条件的典型场景。修复该漏洞的版本号为1.11.1。