Qianxin lance officiellement son premier agent de sécurité de code – Qcode Agents

Génération de preuves : non seulement les risques peuvent-ils être identifiés, mais des parcours reproductibles de déclenchement de vulnérabilités peuvent également être générés.
La vérification pratique a montré que les performances des agents Qcode dans la détection des vulnérabilités liées à la logique métier ont augmenté de façon exponentielle, comblant ainsi réellement un vide critique dans ce domaine industriel.
Redéfinir la frontière de sécurité de la chaîne d’approvisionnement des applications IA : protection intégrale, du modèle au MCP
Actuellement, la chaîne d’approvisionnement des applications IA dépasse largement le cadre des composants open source traditionnels — de nouveaux éléments tels que les fichiers de modèles, le MCP (Model Context Protocol), les compétences (Skill), etc., sont devenus des cibles privilégiées pour l’extension de la surface d’attaque. Face à ces nouveaux objets, les outils SCA traditionnels souffrent souvent de taux élevés de faux positifs et de faux négatifs, en raison d’un manque de capacités de détection, de validation ou de connaissances spécifiques au domaine, ce qui conduit finalement à une mauvaise évaluation des risques.
Qcode Agents a développé une capacité de détection couvrant tous les éléments de la chaîne d’approvisionnement de l’IA, intégrant les dépendances des modèles, les outils MCP et les liens d’appel de compétences dans la perspective d’analyse. En combinant la base approfondie de connaissances spécialisées et la modélisation précise des corrélations accumulées par Qianxin dans le domaine de la chaîne d’approvisionnement logicielle au cours des dix dernières années, Qcode Agents peut générer automatiquement des listes de matériaux logiciels pour les applications d’IA, retracer clairement l’utilisation de modèles open source, identifier avec précision diverses « dépendances invisibles » dans les applications d’IA, et rendre ainsi totalement visibles les divers risques de sécurité liés à la chaîne d’approvisionnement des applications d’IA.
Vérification de la robustesse : reproduction de cas connus et découverte de vulnérabilités potentielles dans des projets grand public
La capacité de détection de Qcode Agents a été parfaitement validée lors de multiples tests, atteignant des performances remarquables :
Reproduire la référence sectorielle : reproduire intégralement les trois vulnérabilités de sécurité typiques révélées lors du lancement de Claude Code Security, restaurer avec précision les conditions de déclenchement des vulnérabilités, leurs vecteurs d’exploitation et les scénarios de risque potentiels, et démontrer l’avancée de sa logique de détection.
Tests approfondis de projets open source : des projets open source réputés et largement utilisés, tels qu’Apache OFBiz, Apache Log4j, libpng et GPAC, ont fait l’objet de tests ciblés approfondis. Ces tests ont non seulement permis de reproduire avec succès les vulnérabilités correspondantes référencées dans la base CVE, mais aussi d’identifier de manière exhaustive des défauts logiques métier ainsi que des vulnérabilités à haut risque, comme les débordements de pile. Par exemple, lors de l’analyse d’Apache OFBiz, les agents Qcode ont mis en évidence une vulnérabilité de contournement liée à un mécanisme de vérification d’authentification incomplet — une faille sémantique impossible à détecter par une analyse statique traditionnelle. Grâce à leur expérience pratique intégrée, les agents Qcode ont parfaitement saisi la sémantique de vérification propre aux scénarios de connexion et ont ainsi réussi à identifier cette anomalie cachée.
Principaux résultats obtenus pendant la phase de tests internes : les agents Qcode ont identifié plus de 10 vulnérabilités de sécurité potentielles dans des systèmes et cadres open source grand public tels qu’OpenSSL, TensorFlow, OpenCV, Memcached et RuoYi, et ont réalisé une validation préliminaire ainsi qu’une évaluation du niveau de risque.
Dix ans pour aiguiser une épée : le combat réel est le seul critère permettant de tester l’efficacité.
Les performances exceptionnelles des agents Qcode ne sont pas un château en Espagne, mais reposent sur la base solide d’une expertise en sécurité du code accumulée par Qianxin depuis plus de dix ans.
Accumulation approfondie : Qianxin figure parmi les premiers fabricants chinois à avoir industrialisé une solution SAST (Static Application Security Testing) au niveau entreprise. Son produit phare, « Code Defender », prend en charge des dizaines de langages, couvre des milliers de types de vulnérabilités, accompagne plus de 1 000 grands clients gouvernementaux et industriels, et intègre des dizaines de milliers de règles de haute qualité validées en conditions réelles.
Vérification comparative : « AI+Code Defender », lancé au début de l’année 2025, est déployé chez des clients financiers de premier plan tels que la Banque de Pékin et PICC Technology. Les données montrent qu’il a réduit le cycle d’audit du code de plus de 83 %, ramené les coûts de main-d’œuvre à un sixième de ceux des modèles traditionnels, et atteint un taux d’interception des vulnérabilités à haut risque supérieur à 95 %.
Remarques finales
Du « Code Defender » à « AI+Code Defender », puis désormais aux agents intelligents « Qcode Agents » : chaque étape marque une amélioration continue et une itération étroitement liée aux besoins pratiques. Le lancement de Qcode Agents par Qianxin ne constitue pas une simple mise à niveau du produit, mais plutôt une intégration d’acquis techniques, d’expériences en attaque et défense, et de retours concrets clients. Il permet non seulement à l’IA de « comprendre le code », mais aussi de « comprendre les métiers », de « renforcer l’expérience utilisateur » et de « gérer des boucles fermées », construisant ainsi pour les entreprises un système de sécurité du code fiable, efficace et sécurisé.