llm-security-check：只读扫描器检测 AI 应用中的密钥泄露与 LLM 架构错误

safia-habib 在 GitHub 开源 llm-security-check，一个只读、被动的 Web 扫描器，用通俗英文报告 AI 应用的 LLM 相关安全问题：JS 包、.env、source map 中的 OpenAI、Anthropic、Google Gemini、Groq、AWS 等提供商密钥，客户端代码中的 JWT，浏览器直连提供商 API，前端暴露 system prompt，CORS 配置过宽等。每项发现附带风险说明、攻击场景和修复步骤。工具只发 GET 和 HEAD 请求，不测试密钥有效性、不运行无头浏览器、不扫描需登录的页面，报告仅在内存中保留最多 30 分钟，支持 Docker 和 Fly.io 部署，采用 MIT 许可。