Vercel 安全审查功能现已进入公开测试阶段
内容提要
Vercel 面向 Pro 和 Enterprise 团队公测安全审查功能：每次向 GitHub 推送代码即自动扫描漏洞，结果在仪表板显示，包含项目、分支、提交、修复建议及 AI 严重度评级。可用 Vercel Agent 一键生成修复 PR，或用 CLI 处理；团队可编写自然语言安全策略。该功能仅分析源码，并非安全审计，不进行运行时或渗透测试。按 Vercel Agent 费率计费，2026 年 11 月 10 日前免费。
延伸解读
推送即扫描：覆盖直接推送与强制推送
安全审查由 GitHub 推送事件触发，而非仅限拉取请求。这意味着直接推送到生产分支或强制推送也会被自动审查，且一次推送涉及的所有项目会一起检查。对于习惯绕过 PR 流程的团队，这能减少遗漏，但也意味着每次推送都会产生扫描成本，需留意推送频率。
修复流程：AI 生成 PR 但需人工批准
点击“Fix with Vercel Agent”后，Agent 会提出修复方案并创建拉取请求，但不会自动合并，必须由你审核批准。你也可以用 CLI 命令或复制 Markdown/JSON 交给自己的编码代理处理。这种设计把最终控制权留给开发者，适合将安全修复纳入现有代码审查流程。
能力边界：源码分析而非安全审计
该功能仅分析源代码，明确不是安全审计，也不进行运行时或渗透测试。它能帮助发现漏洞，但不保证应用完全无漏洞。团队应将其视为开发阶段的辅助检查，而非替代专业安全评估。对于需要运行时验证或合规审计的场景，仍需额外手段。
成本与策略：按推送量计费，自然语言定策略
费用按 Vercel Agent 费率计算：底层 token 按供应商推理价格无加价，另加每百万 token 0.25 美元的 Vercel Token 费率。由于每次推送都触发审查，成本随推送频率和代码变更量增长。2026 年 11 月 10 日前免费，但 Agent 修复仍计费。团队可用自然语言编写安全策略，为审查提供构建上下文。
Q&A
Vercel 安全审查功能现在是什么状态？哪些团队可以使用？
Vercel 安全审查功能已进入公开测试阶段，面向 Pro 和 Enterprise 团队开放。
Vercel 安全审查是如何触发的？
当代码推送到已连接的 GitHub 仓库时，安全审查会自动运行。它基于推送事件而非拉取请求，因此直接推送和强制推送到生产分支也会被审查。一次推送影响的所有项目会一起审查。
安全审查发现的漏洞报告包含哪些信息？
每个发现记录项目、环境、分支和提交，并包含摘要、建议修复方案以及 AI 生成的严重度评级。
如何修复安全审查发现的漏洞？
可以点击漏洞报告上的“Fix with Vercel Agent”，由 Vercel Agent 提出修复并打开拉取请求供你审核，批准后才会合并。也可以使用 Vercel CLI 的 `vercel security vulnerabilities` 命令，或将发现复制为 Markdown 或 JSON 格式，用你自己的编码代理修复。
Vercel 安全审查有哪些局限性？
安全审查仅分析源代码，不是安全审计，也不进行运行时或渗透测试。它帮助发现漏洞，但不保证应用程序没有漏洞。
Vercel 安全审查如何收费？
按 Vercel Agent 费率计费：提供商推理按底层令牌费率无加价，加上 Vercel 令牌费率每百万令牌 0.25 美元（输入、缓存、输出）。由于每次推送都运行审查，成本随推送频率和代码变更量变化。2026 年 11 月 10 日前免费，使用 Vercel Agent 进行的修复按 Vercel Agent 费率计费。
团队如何为安全审查编写安全策略？
团队可以用自然语言编写安全策略，针对所有项目或特定项目，为安全审查提供更多关于构建方式的上下文。团队策略在 Agent 设置中设置，项目策略在项目的安全设置中设置。
