Công nghệ mà một công ty tuyên bố có thực sự là thật không? DDE đọc mã nguồn để xác minh các tuyên bố kỹ thuật và phát hiện sự giả mạo cùng AI-washing — sau đó so sánh đối chuẩn với ngành và đối thủ rồi chấm điểm những điểm yếu của chính bạn, tất cả ngay trong IDE của bạn.
+ Parallel Atlas 4-Axis (35% Crypto Core)
+ 30-Item × 10-Co. Capability Matrix
With Data Provenance Box & Source Appendix
Runs inside your existing IDE AI subscription
Due Diligence Engine (DDE) là công cụ dòng lệnh mã nguồn mở biến tác nhân AI trong IDE của bạn — Claude Code, OpenAI Codex CLI, Google Gemini CLI, Antigravity, Cursor, GitHub Copilot — hỗ trợ Claude Opus 5.5 / Sonnet 5.5, Gemini 4 Argon, GPT-5 và nhiều công cụ khác — thành một chuyên gia phân tích kỹ thuật đẳng cấp thế giới. Nó đọc toàn bộ mã nguồn của bất kỳ đối tượng nào — công ty trong danh mục đầu tư, mục tiêu thâu tóm, đối thủ cạnh tranh, hay chính đội ngũ của bạn — xác minh xem công nghệ được tuyên bố có thực sự được triển khai hay không, nghiên cứu thị trường và đối thủ theo thời gian thực, đồng thời chấm điểm điểm mạnh và điểm yếu trên nhiều chiều có trọng số thành một báo cáo PDF đạt chuẩn tư vấn trong thư mục Tải xuống của bạn. Mọi thứ chạy cục bộ bên trong hộp cát AI của IDE — không cần API key, máy chủ bên thứ ba, thu thập dữ liệu, hay chi phí phát sinh.
Generic AI code reviewers stop at checkbox compliance ('Has auth? ✓ Has HTTPS? ✓'). DDE inspects actual cryptographic primitives (Signal Protocol, PQXDH + ML-KEM-1024, libsignal/BoringSSL FFI vs. self-rolled crypto), concurrency models, and live 2026 market sources.
Eliminates stale training-cutoff analysis. Before inspecting the repo, the agent searches 2026 competitor acquisitions, shutdowns, funding rounds, CVEs, and regulatory shifts. Every matrix cell carries source URLs + verification dates, surfaced in the PDF Data Provenance Box.
"data_freshness": {
"web_search_performed": true,
"search_date": "2026-10-22",
"queries_executed": 14,
"sources_cited": 28
}In v0.6.2, heuristic false positives (git rebase timestamp diffs, high-velocity commits, documentation buzzword counts) are silently discarded and blocked by _filter_red_flags. Only genuine code-level security gaps, race conditions, and logic bugs with exact file:line and fix plans appear.
{
"severity": "HIGH",
"file_path": "src/crypto/session.rs:142",
"title": "Nonce reuse risk on concurrent retry",
"description": "Use atomic counter or ChaCha20Poly1305 random nonce..."
}Third-party badges (SOC2, ISO, HIPAA) are reference-only and never scored. DDE audits 4 claim-vs-code consistency checks plus 6 code-measured capabilities: Cryptographic depth, Concurrency model, I/O patterns, Caching architecture, Scalability, and ML implementation depth.
Claim vs Code (4): Pitch accuracy / Feature completeness
Code Measured (6): Crypto FFI / Concurrency / I/O / Cache / Scale / MLBộ slide nào cũng nói "powered by AI". Nhưng ít ai chứng minh được. Thẩm định kỹ thuật vốn chậm, tốn kém và khó mở rộng trên toàn bộ danh mục thương vụ.
Ngôn ngữ marketing thổi phồng — hoặc bịa ra — những năng lực mà codebase không hề có. Phát hiện được khoảng cách đó tiêu tốn thời gian của một kỹ sư cấp cao.
Đọc codebase, vẽ lại kiến trúc và đối chiếu với đối thủ cho từng thương vụ là nhiều ngày làm việc của chuyên gia mà bạn hiếm khi có.
Không có một mốc kỹ thuật khách quan, các quyết định về giá và rủi ro phải dựa vào câu chuyện của nhà sáng lập thay vì bằng chứng.
Every report delivers both the balanced 5-Dimension Standard Score (equal 20% weights) and the parallel Atlas 4-Axis Engineering Philosophy (55% weighted toward deep cybersecurity engineering).
API Wrapper vs. Genuine IP
Distinguishes thin third-party API wrappers from defensible proprietary algorithms, protocols, and custom engineering.
Stack Modernity & Cryptographic Edge
Evaluates 2026-grade language safety, runtime efficiency, post-quantum primitives (ML-KEM-1024), and modern toolchain maturity.
PoC Demo vs. Production Grade
Inspects error handling, edge cases, migrations, state machines, and automated test coverage to separate demos from production code.
Structural Integrity + Integrated Security (v0.3)
Evaluates security posture as an inseparable foundation of production architecture alongside modularity, fault isolation, and scalability.
Pitch Deck & Website Claims vs. Code Reality
Cross-examines public marketing claims ('AI-powered', 'E2EE', 'Zero-Knowledge') against actual repository implementation to expose AI-washing.
Strong investment candidate
Viable with conditions
Significant concerns
High risk
Do not invest (or Critical Deal-Breaker)
Generates 7 consulting frameworks across 6 global regions, plus an 8th chart: a ~30-item × 5–10 competitor Implementation Capability Matrix dynamically tailored to the target's industry with 3–5 line competitor selection rationales.
Vision × Execution
Market Growth × Relative Share
Competitive Position × Technical Moat Depth
Security Implementation × Privacy Readiness
Data Protection × Audit Transparency
Downside Risk × Upside Potential
R&D Velocity × ARR Traction (3D Bubble)
Uses the 4-state Japanese tech rating standard (○ / △ / × / ?) with primary source URLs and verification dates on every cell.
Publicly documented & verified in code, whitepapers, or specs
Asserted in marketing, but not independently verifiable
Explicitly absent in documentation or architecture
Cannot be determined from public evidence (preferred over guessing)
| Category / Capability | Target | Comp. A | Comp. B | Comp. C | Provenance (sources + last_verified) |
|---|---|---|---|---|---|
Core Cryptography Hybrid Post-Quantum Key Agreement (PQXDH / ML-KEM-1024) | ○ | ○ | × | △ | [2026-10-22] Verified FIPS 203 ML-KEM-1024 + X25519 FFI implementation |
Metadata Privacy Sealed Sender / Zero-Knowledge Routing | ○ | ○ | × | × | [2026-10-22] Verified sender certificate encapsulation across relays |
Data Governance Cryptographic Message Retirement (Tombstone Zeroize) | ○ | △ | × | ? | [2026-10-22] Verified Ed25519-signed Tombstone & cache zeroization |
Audit Transparency Public Source Code & Automated Security CI | ○ | ○ | × | × | [2026-10-22] Verified public GitHub repository & CodeQL/osv-scanner CI |
* In live PDF reports, the ~30 capability items and 5–10 top competitors are dynamically selected for the target's industry (Messaging, Fintech, Medical, Gaming, SaaS, IoT), with all cited URLs listed in the Source Appendix.
Typeset in black and Atlas Blue (#5271FF), combining executive synthesis, code-level evidence, global market charts, and a cryptographic purge certificate (~22–24 pages depending on findings).
5-dim horizontal bars, 5-dim radar chart, Data Provenance Box (search date, query & source counts, or training-cutoff warning), and business + technical synthesis.
Evidence-backed SWOT grid, per-dimension enablers, 1/3/5-year projections with confidence, immediate/medium/long-term roadmap, and investment thesis.
Genuine code defects only (file:line + fix plan) and the 10-item technical audit (4 claim-vs-code + 6 code-measured).
Regional positioning charts, 3–5 line rationale per competitor (HQ, market position, why chosen), and the ○△×? capability matrix.
Performance / Stability / Lightweight / Security Strength bars plus a plain-language executive glossary (MFA, SOC2, libsignal, PQXDH).
Engineering rebuild time/cost estimation, complete URL Source Appendix (added in v0.6.0), and cryptographic workspace purge certificate.
Một bài đánh giá kỹ thuật ưu tiên bằng chứng, có thể lặp lại — cùng một bộ tiêu chí cho mọi thương vụ.
Đối chiếu bài pitch với chính codebase thực tế để xác nhận điều gì đã thực sự được xây dựng so với điều chỉ được nói suông.
Đánh dấu những chỗ "AI" chỉ là lớp vỏ mỏng, một heuristic được mã hóa cứng, hay hoàn toàn không tồn tại — tách bạch ML thực thụ khỏi marketing.
Đưa ra điểm số 0–100 và xếp hạng chữ cái trên các khía cạnh có trọng số ngang nhau, kèm theo lập luận được trình bày rõ ràng.
Vẽ lại cấu trúc, các phụ thuộc và lựa chọn thiết kế để đánh giá khả năng bảo trì, khả năng mở rộng và nợ kỹ thuật.
Nghiên cứu các đối thủ thực, vòng gọi vốn và cảnh báo bảo mật trên web, rồi dựng nên bảng so sánh thị trường có dẫn nguồn.
Chạy hoàn toàn bên trong sandbox AI của IDE. Không máy chủ bên thứ ba, không telemetry — được kiểm định bằng CodeQL, Dependabot và pip-audit.
DDE itself operates zero third-party servers and zero telemetry. Choose the exact execution boundary that matches your security policy.
$ dde prompt --pdfDDE locally generates a structured prompt. Code reading and PDF generation happen inside your existing IDE AI agent session (Claude Code, Codex, Gemini CLI, Antigravity, Copilot, Cursor).
DDE makes zero outbound calls. Your AI agent runs STEP 0 live web searches for public competitor & CVE data.
$ dde analyze . --skip-aiSource code is analyzed 100% locally in memory/temp workspace and never sent to any AI model or external service.
In v0.6.3 (780e3cd / aac4c77), --skip-ai strictly disables API key auto-loading and blocks all outbound network requests.
$ dde analyze owner/repoUses your own API keys to cross-verify across up to 3 providers via the unified SSOT registry (BYOK_DEFAULT_MODELS / PROVIDER_MODEL_COSTS): Anthropic (Claude Haiku 5.5 → Sonnet 5.5 → Fable 5.1), Google (Gemini 4 Argon), and OpenAI (Astra gpt-6.1-sol / GPT-5).
Configured for zero-retention API endpoints (store=False, with fail-closed enforcement on GoogleProvider). Strips user:token@ credentials from GitHub URLs and immediately dereferences PATs after single in-memory use.
Eradicated all 36 audit defects across 35+ modules with GPT-6-Astra (xhigh) & Gemini 4 Argon, unified the SSOT model/cost registry, and locked permanent verification with 156 automated tests (tests/test_audit_regressions.py + tests/test_zero_drift_invariants.py).
Blocks Zip Slip traversal, symlinks, and FIFO special files during archive ingestion, and strips user:token@ credentials from GitHub URLs. Preserves .git during analysis for commit forensics, then performs in-place "r+b" 3-pass zero-fill shredding with strict os.walk(onerror=...) failure propagation and Windows NTFS user-only ACL locking.
Site verification (site_analyzer.py) enforces ip.is_global to block RFC 6598 CGNAT (100.64.0.0/10), private, loopback, and cloud metadata IPs as well as unsafe redirects, using reentrant DNS pinning (_pinned_dns_context) to prevent time-of-check to time-of-use (TOCTOU) DNS rebinding attacks.
Applies _esc_text across all dynamic PDF fields (ImplementationMatrix, sources, RedFlags) to prevent ReportLab XML parser crashes. Protects Latin digits and ASCII punctuation with Helvetica in Arabic (ar) and Thai (th) to prevent missing-glyph tofu boxes (□) across 24-page PDFs, enforces Jinja2 autoescape=True, and guarantees idempotent Score.compute().
Unifies __version__, BYOK_DEFAULT_MODELS, and PROVIDER_MODEL_COSTS (Astra gpt-6.1-sol $2/$10, gpt-6-astra $5/$25, gpt-5 $1.25/$10, Haiku >100k tiered rate) in config.py SSOT. Enforces fail-closed store=False on GoogleProvider, supports async def AST analysis, and locks 156 CI tests via test_zero_drift_invariants.py.
DDE tạo ra một prompt có cấu trúc mà bất kỳ AI agent nào có khả năng đọc tệp và chạy shell đều có thể thực thi. Không cần plugin riêng hay đăng nhập vào DDE.
Cài đặt từ kho mã công khai chỉ với một lệnh pip duy nhất. Hoàn toàn là Python cục bộ — không tài khoản, không cấu hình.
Từ dự án cần thẩm định, chạy lệnh DDE trong terminal AI IDE của bạn. Gói AI bạn đang đăng ký sẽ đảm nhận việc phân tích — không tốn thêm chi phí.
Agent đọc hàng trăm tệp, đánh giá trên các khía cạnh có trọng số, đồng thời nghiên cứu trực tiếp đối thủ, vòng gọi vốn và cảnh báo bảo mật trên web.
Một bản PDF theo phong cách tư vấn xuất hiện trong thư mục Downloads — điểm số 0–100, xếp hạng chữ cái, bức tranh cạnh tranh và những luận giải có dẫn nguồn.
New in v0.6.3: paste Method A directly into your AI agent chat for fully automated install + audit + PDF generation, or run Method B in your terminal. Bundled Noto fonts render 14 PDF languages out of the box.
✓ Your current locale is natively supported for localized PDF output (14 languages).
Install https://github.com/Atlas-Associates-Inc/Due-diligence-engine (python3 -m pip install -U --no-cache-dir git+https://github.com/Atlas-Associates-Inc/Due-diligence-engine.git), run dde prompt --pdf --lang vi on this project, and execute the entire generated prompt (STEP 0 live web research, full code audit, JSON generation, and PDF rendering) end-to-end to save the consulting PDF report to ~/Downloads/.python3 -m pip install -U --no-cache-dir git+https://github.com/Atlas-Associates-Inc/Due-diligence-engine.git && dde prompt --pdf --lang vidde doctordde prompt --pdf --lang vi --url https://example.comWorks out of the box in any AI agent capable of reading files and running shell commands.
Boutique consulting depth with local-first privacy at zero added software cost.
| Dimension | DDE (v0.6.3) | Manual DD Consulting | Generic AI Code Review | SaaS DD Platforms |
|---|---|---|---|---|
| Added Cost | $0 (uses your IDE AI) | $$$$ (consultant fees) | Per-token API fees | $$$$ (enterprise subscription) |
| Code Privacy | Local / IDE sandbox (0 DDE servers) | Manual NDA & repo sharing | Uploads code to vendor | Stores code in vendor cloud |
| Deliverable | 24-page consulting PDF (14 langs) | Bespoke report | Inline PR comments | Web dashboard |
| Data Freshness | Live web search (2026) + URLs | Depends on analyst | Training cutoff only (stale) | Vendor refresh cycle |
| Crypto & Security Depth | PQXDH / ML-KEM-1024 / FFI audit | Depends on consultant | Surface checklist | Surface checklist |
| Competitive Benchmarks | 7 charts × 6 markets + 30-item matrix | Manual research (weeks) | None | Limited |
| Red Flag Precision | Code-verified only (file:line + fix) | High (slow) | High false-positive noise | Heuristic rule noise |
| Setup & Turnaround | 1 command / ~10–20 min | 2–4 weeks | Minutes (partial) | Days (onboarding) |
Dù bạn đang ra quyết định đầu tư, nhìn nhận khách quan về kỹ thuật của chính mình, hay đối chuẩn với đối thủ — bằng chứng từ mã nguồn, một cách nhanh chóng.
VC, quỹ tăng trưởng và đội ngũ M&A: sàng lọc rủi ro kỹ thuật và sự thật đằng sau những tuyên bố trên toàn bộ danh mục của bạn trước khi đi sâu.
Chạy DDE trên chính mã nguồn của bạn để nhìn rõ điểm mạnh, điểm yếu và nợ kỹ thuật qua lăng kính của bên thứ ba — nhằm ưu tiên khắc phục hoặc chuẩn bị cho một vòng gọi vốn.
Đối chuẩn ngăn xếp công nghệ và độ sâu triển khai của đối thủ từ kho mã công khai và dữ liệu thị trường, rồi hiểu rõ vị thế của chính bạn bằng bằng chứng.
Có. DDE là mã nguồn mở theo giấy phép Apache 2.0. Nó sử dụng gói AI bạn đã có sẵn trong IDE, nên không cần API key và không phát sinh chi phí.
Không. DDE là Python 100% cục bộ và chạy bên trong sandbox AI của IDE. Không có máy chủ DDE nào và không có telemetry. Phần nghiên cứu trên web chỉ truy xuất thông tin công khai về đối thủ và thị trường.
Bất kỳ agent nào có thể đọc tệp và chạy lệnh shell. Nó đã được kiểm chứng với Claude Code, OpenAI Codex CLI, Google Gemini CLI, Antigravity và GitHub Copilot Agent Mode (hỗ trợ các mô hình mới nhất như Claude Opus 5.5 / Sonnet 5.5, Gemini 4 Argon và GPT-5), đồng thời hoạt động với Cursor, Gemini Code Assist, Aider, Windsurf và các terminal dạng agent tương tự.
Một bản PDF đạt chuẩn tư vấn (khoảng 24 trang) được lưu vào thư mục Downloads, với điểm tổng 0–100, xếp hạng chữ cái, bức tranh cạnh tranh, ma trận triển khai và những luận giải có dẫn nguồn.
AI-washing là việc tiếp thị một sản phẩm như thể được vận hành bằng AI trong khi công nghệ nền tảng lại rất ít ỏi hoặc không hề tồn tại. DDE đối chiếu các tuyên bố trong bài pitch với phần triển khai thực tế trong codebase và đánh dấu những khoảng cách đó.
Cài đặt một lần, chạy từ bất kỳ AI IDE nào, và tự mình đọc lấy bằng chứng. Miễn phí và mã nguồn mở.