Trail of Bits publications 完全上手指南：几百份安全审计报告、论文和幻灯片，10分钟找到你需要的

【免费下载链接】publicationsPublications from Trail of Bits项目地址: https://gitcode.com/GitHub_Trending/pu/publications

这个仓库到底是干什么的

publications 是安全公司 Trail of Bits 的公开资料仓库：把公司这些年对外发布的智能合约审计报告、安全评估、学术论文、白皮书、会议演讲幻灯片、案例研究和数据集，全部按类别整理成一个可以直接检索的文档库。它不是软件，不用安装、不用配置，clone 下来就能用。

它适合三类人：想读真实审计报告的区块链开发者、准备面试安全岗位需要积累项目认知的人，以及做学术研究要引用相关论文的研究者。整个仓库最核心的是根目录那份 README.md，相当于全书索引，所有 PDF 都能从表格里直接点过去。

快速上手：3步把仓库跑起来

第1步：把仓库拉到本地

git clone https://gitcode.com/GitHub_Trending/pu/publications.git

第2步：看一眼顶层结构，心里有数

ls publications

你会看到 papers（论文）、reviews（审计报告，内容最多）、presentations（演讲）、case-studies（客户案例）、datasets（数据集）等十几个目录，每个目录对应 README 里的一个章节。

第3步：用 grep 直接查索引

不用翻页，任何关键词都能在索引里秒查：

grep -n "Slither" publications/README.md

命中一行表格，链接直接指向对应 PDF，点进去就是完整报告。

核心功能体验：这个仓库最值的3块内容

README 总索引：全书目录，按主题分好了

能做什么：README 按 Academic Papers、White Papers、Conference Presentations、Security Reviews、Workshops、Datasets 等章节组织，每章都是标题+日期+报告的表格，顶部有锚点目录，可以秒跳。

怎么用：打开 README 点目录跳章节，或者用grep -n "Manticore" README.md这类命令直接定位。比如查 Slither 论文，命中的行就指向 papers/wetseb19.pdf。

为什么好用：几百份文档没有分散在各处，一次索引全搞定，比站内搜索可靠得多。

Security Reviews：几百份真实审计报告 📄

能做什么：reviews 目录是仓库里最大的资产，记录 Trail of Bits 经客户授权公开审计的完整报告，按客户分 Major Clients、AI/ML、Cryptography、Technology Product、Cloud-Native、Blockchain 等子类，区块链又按 Ethereum/EVM、Solana、TON 等链细分。

怎么用：每条记录都带产品名、日期、工作量（工程师周数）和报告 PDF 链接。想看 Uniswap v3 怎么审的，直接翻到 Major Clients 的 Uniswap 小节，点开 reviews/UniswapV3Core.pdf 就是完整报告。

为什么好用：真实案例比教程书更有价值，报告里的漏洞分类、严重程度判定都是行业一线水准，拿来对照自己的代码特别有效。

Presentations + Workshops：幻灯片带代码，能跟练

能做什么：presentations 目录每个演讲一个文件夹，里面有幻灯片 PDF 和配套 README；workshops 目录更实，直接带代码。

怎么用：比如 workshops/Manticore - EthCC 2018/ 里有 5 个 Python 脚本和 3 个 Solidity 合约，workshops/Using Manticore and Symbolic Execution to Find Smart Contracts Bugs - Devcon 4/ 也带完整脚本，照着跑就能复现工作坊内容。

为什么好用：幻灯片加可运行代码的组合，等于别人把现场教学给你复刻了一遍。

/ai_maturity_matrix.png?utm_source=gitcode_repo_files)AI 成熟度矩阵：来自 2026 年演讲《How we made Trail of Bits AI-Native (so far)》，该目录同样带完整幻灯片和 README

Datasets：结构化数据可以直接拿去做分析

能做什么：datasets 目录目前有 datasets/smart_contract_audit_findings/ 数据集，datasets/smart_contract_audit_findings/initial_findings.csv 是 CSV 格式，字段包括 type（发现类别）、severity（影响等级）、difficulty（利用难度）、static / dynamic（能否被静态或动态分析检出）等。

怎么用：直接head -5看几行就能上手，丢给 pandas 做统计也毫无压力。

为什么好用：研究"哪些漏洞能被自动化发现"这类问题，它几乎是现成的样本。

实战场景：想学智能合约安全测试，怎么翻资料

假设你刚接触 Solidity 开发，想找靠谱的测试和模糊测试学习材料，完整走一遍：

第1步，查静态分析主线：

grep -n -i "slither" publications/README.md

会命中 Slither 论文、SlithIR 演讲等多条记录，其中 WETSEB 2019 论文直接指向 papers/wetseb19.pdf。

第2步，找能动手跟练的材料：

ls "publications/workshops/Using Manticore and Symbolic Execution to Find Smart Contracts Bugs - Devcon 4"

目录里有 3 个 PDF、3 个 .sol、3 个 .py，幻灯片加代码，跟练一遍就懂 Manticore 符号执行怎么用。

第3步，看真实事故案例加深理解。翻 README 的 Case Studies 章节，case-studies/scroll-zkevm-casestudy.pdf 记录了 Scroll zkEVM 多轮电路审计的挑战、方法和结果，工作量 45.8 个工程师周，能直观感受一线审计的规模。

deniable symbex 示意图：来自演讲《Return to the 100 Acre Woods》，目录内另有 14 张配图和完整幻灯片

第4步，进阶方向：README 的 Disclosures and exploits 章节列了 2015 年至今披露的真实漏洞，从 2015 年 VLC 的 double free 到 2025 年的 AI agent 提示注入 RCE，按时间线读一遍，对"漏洞长什么样"的体感会完全不同。

新手常见问题：4个最常踩的坑

Q1：想读某份报告，怎么快速定位？优先看 README 表格，每行都有日期和产品名；查不到再用grep -ri "关键词" publications/README.md。报告 PDF 都集中在 reviews/ 目录，按"年份-产品-securityreview"命名，文件名本身就是检索线索。

Q2：表格末尾那些小图标是什么意思？README 末尾有 Legend 图例：📄 是安全评估报告，✅ 是修复复测报告，📛 是威胁建模报告，📖 是案例研究，📰 是白皮书，🔖 是证明函。一份审计同时挂了 📄✅ 说明还做了修复后的复测。

Q3：Level of Effort 这一列是什么单位？单位是人周（person-weeks）。Scroll zkEVM Wave 1 写 23，Offchain Labs Arbitrum Stylus 写 47，看一眼大概就知道这次审计投了多大的团队和周期。

Q4：clone 下来全是 PDF，能直接改吗？不建议改。仓库是内容归档，README 表格和文件命名都有严格格式约定（见 CLAUDE.md），改动后格式容易乱；有建议走 PR 提给维护者更合适。

总结：这个仓库怎么用才最值

publications 把几百份审计报告的入口、几十篇论文和几十个带代码的工作坊全部摊在了一张表格里。你不需要"部署"任何东西，clone 下来，用 README 当目录、用 grep 当检索，就能按需求翻到任何一份报告。把 Major Clients 的报告当教材读、把 workshops 当练习册跟，比刷博客效率高得多。

延伸阅读：

• README.md：全仓库总索引，所有章节从这里出发
• datasets/smart_contract_audit_findings/README.md：审计发现数据集的字段说明
• case-studies/：5 份客户案例研究，了解真实审计项目长什么样

【免费下载链接】publicationsPublications from Trail of Bits项目地址: https://gitcode.com/GitHub_Trending/pu/publications