Qianxin lanciert offiziell seinen ersten Code-Sicherheits-Agenten – Qcode Agents

Beweisgenerierung: Risiken können nicht nur entdeckt, sondern auch reproduzierbare Pfade zur Auslösung von Schwachstellen generiert werden.
Praktische Verifizierungen haben gezeigt, dass die Leistung von Qcode Agents bei der Erkennung von Schwachstellen in der Geschäftlogik exponentiell gestiegen ist und damit tatsächlich eine entscheidende Lücke in diesem Bereich der Branche schließt.
Neugestaltung der Sicherheitsgrenze der KI-Anwendungs-Lieferkette: Vollständiger Schutz aller Faktoren – vom Modell bis hin zu MCP
Derzeit hat die Lieferkette für KI-Anwendungen den Umfang traditioneller Open-Source-Komponenten weit überschritten – neue Elemente wie Modell-Dateien, MCP (Model Context Protocol), Skill usw. sind nun im Fokus der Erweiterung der Angriffsfläche. Traditionelle SCA-Tools weisen bei diesen neuen Objekten aufgrund fehlender Erkennungs-, Validierungs- oder Fachkenntnisse oft erhebliche False-Positives und False-Negatives auf, was letztlich zu einer falschen Risikoeinschätzung führt.
Qcode Agents hat eine Erkennungsfähigkeit entwickelt, die sämtliche Elemente der KI-Lieferkette abdeckt und Modellabhängigkeiten, MCP-Tools sowie Skill-Aufrufverbindungen in die Analyse einbezieht. Unter Nutzung der tiefen Fachwissensbasis und präzisen Korrelationsmodellierung, die Qianxin im Bereich der Software-Lieferkette über die letzten zehn Jahre gesammelt hat, kann Qcode Agents automatisch Software-Materiallisten für KI-Anwendungen erstellen, die Verwendung von Open-Source-Modellen klar nachvollziehbar machen, verschiedene ‚unsichtbare Abhängigkeiten‘ in KI-Anwendungen genau identifizieren und sämtliche Sicherheitsrisiken in der KI-Lieferkette sichtbar machen.
Stärkeüberprüfung: Rekonstruktion bekannter Fälle und Entdeckung potenzieller Schwachstellen in gängigen Projekten
Die Erkennungsfähigkeit von Qcode Agents wurde in mehreren Tests erfolgreich validiert und erreichte dabei überraschende Leistungsresultate:
Reproduzieren des Branchenstandards: Vollständige Reproduktion der drei typischen Sicherheitslücken, die bei der Veröffentlichung von Claude Code Security bekannt gegeben wurden; genaue Wiederherstellung der Bedingungen für das Auslösen der Lücken, der Nutzungswege und potenzieller Gefährdungsszenarien sowie Nachweis der Fortschrittlichkeit der Erkennungslogik.
Tiefgreifende Tests von Open-Source-Projekten: Es wurden bekannte und weit verbreitete Open-Source-Projekte wie apache-ofbiz, apache-log4j, libpng, gpac usw. ausgewählt, um gezielte Tiefentests durchzuführen. Dabei konnten nicht nur die entsprechenden CVE-Sicherheitslücken erfolgreich reproduziert werden, sondern es erfolgte zudem eine umfassende Untersuchung von Geschäftslogik-Fehlern sowie hochriskanten Schwachstellen wie Stapelüberläufen. Beispielsweise entdeckten Qcode Agents bei der Analyse von Apache OFBiz eine Umgehungs-Sicherheitslücke, die durch einen unvollständigen Anmeldeverifikationsmechanismus verursacht wurde – eine semantische Lücke, die mit herkömmlicher statischer Analyse nicht identifizierbar ist. Aufgrund ihrer intern verankerten praktischen Erfahrung verstanden die Qcode Agents präzise die Verifikationssemantik von Anmeldeszenarien und konnten diesen versteckten Fehler erfolgreich erfassen.
Wichtige Erkenntnisse während der internen Testphase: Qcode-Agents haben über 10 potenzielle Sicherheitslücken in gängigen Open-Source-Systemen und -Frameworks wie OpenSSL, TensorFlow, OpenCV, Memcached und RuoYi identifiziert und eine vorläufige Validierung sowie eine Risikobewertung durchgeführt.
Zehn Jahre, um ein Schwert zu schärfen: Der Einsatz im echten Betrieb ist das einzige Kriterium zur Überprüfung der Wirksamkeit.
Die herausragende Leistung der Qcode-Agents ist keine Luftschloss-Idee, sondern beruht auf der soliden Grundlage einer mehr als zehnjährigen Code-Sicherheits-Expertise von Qianxin.
Tiefe Erfahrung: Qianxin gehört zu den frühesten Herstellern in China, die ein Enterprise-Level-SAST-Produkt (Static Application Security Testing) erfolgreich marktreif gemacht haben. Das Flaggschiffprodukt „Code Defender“ unterstützt Dutzende von Programmiersprachen, deckt Tausende von Schwachstellentypen ab, dient über 1000 große Regierungs- und Unternehmenskunden und verfügt über zehntausende hochwertige, praxiserprobte Regeln.
Benchmark-Verifizierung: Der Anfang 2025 veröffentlichte „AI+Code Defender“ wurde bei führenden Finanzkunden wie der Bank of Beijing und PICC Technology implementiert. Die Daten zeigen, dass er den Code-Audit-Zyklus um über 83 % verkürzt, die Personalkosten auf ein Sechstel der herkömmlichen Modelle reduziert und eine Abfangquote für hochriskante Schwachstellen von über 95 % erreicht hat.
Schlussbemerkungen
Vom „Code Defender“ zum „AI+Code Defender“ und nun zu den intelligenten Agenten „Qcode Agents“ – jede dieser Entwicklungen stellt eine kontinuierliche Verbesserung und Iteration dar, die eng mit praktischen Anforderungen verknüpft ist. Die Veröffentlichung der Qcode Agents durch Qianxin ist keine bloße Produkt-Upgrade-Maßnahme, sondern vielmehr eine Integration technischer Erfahrung, Angriffs- und Verteidigungs-Know-hows sowie kundenspezifischer Praxis. Sie ermöglicht es KI nicht nur, „Code zu verstehen“, sondern auch, „Geschäftsprozesse zu verstehen“, „Erfahrungen zu stärken“ und „geschlossene Schleifen zu bearbeiten“ – und schafft so ein sicheres, effizientes und zuverlässiges Code-Sicherheitssystem für Unternehmen.