今天 GitHub 涨星最狠的榜单里，有 3 个值得直接接进工作流的开源项目：一个自己打渗透、一个逼 Agent 先写规格再写代码、一个把大厂的代码审查流水线白送出来。Agent 不光会写代码了，还开始会读文档、打渗透、按规格开发、严格审代码。
KeygraphHQ/shannon：全自动 AI 渗透测试员。专打 Web 应用和 API。先读你的源码、画出攻击路径，再用浏览器自动化和命令行真刀真枪去打，只有打穿、有 PoC 的漏洞才写进报告。覆盖注入、XSS、SSRF、认证和越权，能接 GitHub Actions、GitLab CI，支持 Anthropic、OpenAI、xAI 和本地模型，一行 npx 就能跑。它的口号很狠：「No exploit, no report」。5 万星，一天再涨 415 星。
github/spec-kit：GitHub 官方的规格驱动开发工具包。给编程 Agent 一套结构化流程、可复用模板和留档结果。做功能走 Spec-Driven Development，修 Bug 走「定位原因 → 限定修复 → 记录验证」，评估点子直接给出 go、澄清、stop 的结论；扩展、预设、工作流、团队 Bundle 和私有目录全都能自己拼。先写规格再写代码，Agent 才不会放飞自我。14.3 万星，一天还涨 386 星。
alibaba/open-code-review：阿里内部用了两年的 AI 代码审查 CLI，现在开源了。服务过数万开发者、找出过数百万个代码缺陷。核心是「确定性工程 + Agent」混合架构：选哪些文件、怎么打包、规则怎么匹配由工程逻辑硬约束，Agent 只负责动态决策和查上下文。README 里的评测说，同模型下比 Claude Code 准确率和 F1 更高，token 只用约 1/9。4.9 万星，一天再涨 312 星。
项目地址：https://github.com/KeygraphHQ/shannon ｜ https://github.com/github/spec-kit ｜ https://github.com/alibaba/open-code-review
一句话：谁先把这些开源利器接进工作流，谁就先吃到下一波生产力红利。