Qianxin lanza oficialmente su primer agente de seguridad para código: Qcode Agents

Generación de pruebas: no solo se pueden descubrir riesgos, sino que también se pueden generar rutas reproducibles para activar vulnerabilidades.
La verificación práctica ha demostrado que el rendimiento de los Agentes Qcode en la detección de vulnerabilidades de lógica empresarial ha aumentado exponencialmente, cubriendo efectivamente una brecha crítica en este ámbito industrial.
Reconfiguración del límite de seguridad de la cadena de suministro de aplicaciones de IA: protección integral desde el modelo hasta el MCP
Actualmente, la cadena de suministro de aplicaciones de IA ha superado ampliamente el alcance de los componentes de código abierto tradicionales; nuevos elementos como archivos de modelos, MCP (Model Context Protocol), habilidades (Skill), etc., se han convertido en el foco de la expansión de la superficie de ataque. Las herramientas tradicionales de SCA suelen presentar tasas elevadas de falsos positivos y falsos negativos al enfrentarse a estos nuevos elementos, debido a la falta de capacidad de detección, validación o conocimiento especializado en el dominio, lo que finalmente conduce a una evaluación errónea de los riesgos.
Qcode Agents ha desarrollado una capacidad de detección que abarca todos los elementos de la cadena de suministro de IA, incorporando dependencias de modelos, herramientas MCP y enlaces de llamadas a habilidades en la perspectiva de análisis. Al combinar la profunda base de conocimientos especializados y la precisa modelación de correlaciones acumuladas por Qianxin en el campo de la cadena de suministro de software durante los últimos 10 años, Qcode Agents puede generar automáticamente listas de materiales de software para aplicaciones de IA, rastrear con claridad el uso de modelos de código abierto, identificar con precisión diversas "dependencias invisibles" en aplicaciones de IA y hacer que diversos riesgos de seguridad en la cadena de suministro de aplicaciones de IA queden completamente expuestos.
Verificación de solidez: reproducir casos conocidos y descubrir vulnerabilidades potenciales en proyectos principales
La capacidad de detección de Qcode Agents ha sido validada perfectamente en múltiples pruebas, logrando un rendimiento inesperado:
Reproduciendo la referencia de la industria: reproducir completamente las tres vulnerabilidades de seguridad típicas reveladas al lanzarse Claude Code Security, restaurar con precisión las condiciones que desencadenan las vulnerabilidades, las vías de explotación y los escenarios de peligro potenciales, y demostrar el carácter innovador de su lógica de detección.
Pruebas profundas de proyectos de código abierto: se seleccionaron proyectos de código abierto reconocidos y ampliamente utilizados, como apache-ofbiz, apache-log4j, libpng y gpac, entre otros, para llevar a cabo pruebas profundas específicas. Estas pruebas no solo reprodujeron con éxito las correspondientes vulnerabilidades CVE, sino que también investigaron exhaustivamente defectos en la lógica de negocio y vulnerabilidades de alto riesgo, como desbordamientos de pila. Por ejemplo, al detectar Apache OFBiz, los Agentes Qcode descubrieron una vulnerabilidad de omisión causada por un mecanismo de verificación de inicio de sesión incompleto: se trata de una laguna semántica que los análisis estáticos tradicionales no pueden identificar. Gracias a su experiencia práctica integrada, los Agentes Qcode comprendieron con precisión la semántica de verificación en escenarios de inicio de sesión y lograron detectar con éxito esta falla oculta.
Hallazgos principales durante la fase de pruebas internas: los agentes Qcode han identificado más de 10 vulnerabilidades potenciales de seguridad en sistemas y marcos de código abierto ampliamente utilizados, como OpenSSL, TensorFlow, OpenCV, Memcached y RuoYi, y han completado la validación preliminar y la evaluación del nivel de riesgo.
Diez años para afilar una espada: el combate real es el único criterio para probar la eficacia.
El rendimiento sobresaliente de los agentes Qcode no es una quimera, sino que se sustenta en la base sólida de más de diez años de especialización en seguridad del código por parte de Qianxin.
Acumulación profunda: Qianxin es uno de los primeros fabricantes de China en llevar a la práctica productos empresariales de SAST (pruebas estáticas de seguridad de aplicaciones). Su producto estrella, "Code Defender", soporta decenas de lenguajes, cubre miles de tipos de vulnerabilidades, atiende a más de 1000 clientes gubernamentales y empresariales importantes y ha acumulado decenas de miles de reglas de alta calidad, validadas mediante experiencia práctica.
Verificación de referencia: El "AI+Code Defender" lanzado a principios de 2025 se ha implementado entre clientes financieros destacados, como el Banco de Beijing y PICC Technology. Los datos indican que ha acortado el ciclo de auditoría de código en más del 83 %, reducido los costos laborales a un sexto de los modelos tradicionales y logrado una tasa de interceptación de vulnerabilidades de alto riesgo superior al 95 %.
Comentarios Finales
Desde el "Code Defender" hasta el "AI+Code Defender", y ahora hasta el agente inteligente "Qcode Agents", cada paso representa una mejora continua y una iteración estrechamente vinculada a necesidades prácticas. El lanzamiento de Qcode Agents por parte de Qianxin no es una simple actualización del producto, sino una integración de acumulación técnica, experiencia en ataque y defensa, y práctica con clientes. No solo permite que la IA "entienda el código", sino que también le posibilita "entender el negocio", "potenciar la experiencia" y "gestionar bucles cerrados", construyendo así un sistema de seguridad de código seguro, eficiente y fiable para las empresas.