GitHub官方博客9月28日发布安全团队实战复盘：团队使用开源的GitHub Security Lab Taskflow Agent（seclab-taskflow-agent），对Android应用进行自动化安全审计，累计发现并报告24个漏洞。典型案例包括OsmAnd导航应用存在可被任意应用静默追踪用户位置的缺陷，维基百科Android应用存在deeplink劫持导致的账号接管风险，多个高危漏洞已在安全公告页披露。

其可复现工作流分四步：一是运行审计脚本（run_mobile.sh），中型仓库约1至2小时跑完，结果落SQLite并标注疑似漏洞；二是让Agent提取攻击者可控的入口点，准确圈定攻击面；三是按漏洞类别清单逐入口点检查，并以「严格提示词防遗漏」与「宽泛提示词挖逻辑漏洞」多轮互补；四是人工复核严重性，再让LLM构建PoC验证可利用性。

复盘的核心结论：LLM擅长发现漏洞但难以准确评估严重性，误报与漏判缓解因素的情况都需要安全研究人员把关；把有效提示词和工作流打包成可分享的Agent任务，是当前AI辅助安全研究的最佳实践。