A Qianxin hivatalosan elindította első kód-biztonsági ügynökét – a Qcode Agents-t

Bizonyítékok létrehozása: nemcsak kockázatok azonosíthatók, hanem reprodukálható sebezhetőség-kiváltási útvonalak is generálhatók.
A gyakorlati ellenőrzés azt mutatta, hogy a Qcode Agents teljesítménye a üzleti logikai sebezhetőségek észlelésében exponenciálisan nőtt, és valóban betölti ezen ipari szektor kulcsfontosságú hiányosságát.
Az MI-alkalmazások ellátási láncának biztonsági határainak újramodellezése: a modelltől az MCP-ig – teljes körű tényezővédelem
Jelenleg az MI-alkalmazások ellátási láncának hatóköre messze túllépte a hagyományos nyílt forráskódú komponensek körét – új elemek, mint például a modellfájlok, az MCP (Model Context Protocol), a Skill stb., most már a támadási felület kiterjesztésének fókuszpontjai. A hagyományos SCA-eszközök gyakran súlyos hamis pozitív és hamis negatív eredményeket adnak ezekkel az új objektumokkal szemben, mivel hiányzik belőlük a megfelelő észlelési, érvényesítési vagy szakterületi ismeret, ami végül a kockázatok helytelen megítéléséhez vezet.
A Qcode Agents egy olyan észlelési képességet épített ki, amely lefedi az AI-ellátási lánc minden elemét, beleértve a modellfüggőségeket, az MCP-eszközöket és a Skill-hívásokra mutató linkeket az elemzés szemszögében. A Qianxin tíz évnyi, a szoftverellátási lánc területén gyűjtött mély szakterületi ismeretbázisát és pontos korrelációs modellezési tapasztalatát ötvözve a Qcode Agents automatikusan generálja az AI-alkalmazások szoftveranyag-listáit, egyértelműen nyomon követi a nyílt forráskódú modellek használatát, pontosan azonosítja az AI-alkalmazásokban rejlő különféle „láthatatlan függőségeket”, és így minden ellátási lánc-biztonsági kockázatot feltár az AI-alkalmazásokban.
Erősség-ellenőrzés: ismert esetek reprodukálása és potenciális biztonsági rések felfedezése vezető projektekben
A Qcode Agents észlelési képességét több teszt során is tökéletesen validálták, váratlanul jó teljesítményt érve el:
Az ipari szabvány reprodukálása: teljes mértékben reprodukálni a Claude Code Security kiadásakor nyilvánosságra hozott három tipikus biztonsági rést, pontosan visszaállítani a rések kiváltásának feltételeit, kihasználási útvonalait és lehetséges veszélyhelyzeteket, valamint igazolni észlelési logikájának fejlettségét.
Nyílt forráskódú projektek mélyszintű tesztelése: Kiválasztottunk néhány jól ismert, széles körben használt nyílt forráskódú projektet, például az apache-ofbiz, az apache-log4j, a libpng és a gpac programokat, majd célzott mélyszintű tesztelést végeztünk. Ez nemcsak sikeresen reprodukálta a megfelelő CVE-sebezhetőségeket, hanem átfogóan vizsgálta a üzleti logikai hiányosságokat és a magas kockázatú sebezhetőségeket is, például a verem túlcsordulást. Például az Apache OFBiz észlelése során a Qcode Agents felfedezett egy bejelentkezési ellenőrzési mechanizmus hiányos működéséből eredő kerülő megoldást lehetővé tevő sebezhetőséget, amely egy szemantikai rést jelent, és amelyet a hagyományos statikus elemzés nem tud azonosítani. A Qcode Agents belső gyakorlati tapasztalata alapján pontosan megértette a bejelentkezési forgatókönyvek ellenőrzési szemantikáját, és így sikeresen felfedezte ezt a rejtett hiányosságot.
A belső tesztelési fázis során megállapított főbb eredmények: A Qcode ügynökök több mint 10 lehetséges biztonsági sebezhetőséget azonosítottak a vezető nyílt forráskódú rendszerekben és keretrendszerekben, például az OpenSSL-ben, a TensorFlow-ban, az OpenCV-ben, a Memcached-ben és a RuoYi-ben, valamint elvégezték az előzetes érvényesítést és a kockázati szint értékelését.
Tíz év a kard csiszolására: a tényleges harc az egyetlen kritérium a hatékonyság tesztelésére.
A Qcode ügynökök kiemelkedő teljesítménye nem levegőből kapott választékos építmény, hanem a Qianxin több mint tíz éves kódbiztonsági szakértelemének szilárd alapjára épül.
Mély gyökerezés: A Qianxin Kína egyik legkorábbi gyártója, amely vállalati szintű SAST (statikus alkalmazásbiztonsági tesztelés) termékeket hozott forgalomba. A csúcstermék, a „Code Defender”, tucatnyi programozási nyelvet támogat, ezrekre becsült sebezhetőség-típust fed le, több mint 1000 nagy kormányzati és vállalati ügyfélnek nyújt szolgáltatást, és több tízezer, gyakorlati tapasztalattal igazolt, magas minőségű szabályt halmozott fel.
Referenciavizsgálat: A 2025 elején kiadott „AI+Code Defender” rendszert már bevezették vezető pénzügyi ügyfeleknél, például a Bank of Beijing és a PICC Technology szervezeteknél. Az adatok szerint a kódvizsgálati ciklus 83%-nál többet rövidült, a munkaerő-költségek a hagyományos modellek hatodára csökkentek, és a magas kockázatú biztonsági rések felderítési aránya 95%-nál több lett.
Záró megjegyzések
A „Code Defender”-től az „AI+Code Defender”-ig, majd most a „Qcode Agents” intelligens ügynökig – minden lépés egy gyakorlati igényekhez szorosan kapcsolódó folyamatos fejlesztés és iteráció. A Qianxin által kiadott Qcode Agents nem csupán egy egyszerű termékfrissítés, hanem technikai tapasztalatok, támadás-védelem közötti gyakorlat és ügyfél-specifikus alkalmazás összeforrt integrációja. Ez nemcsak azt teszi lehetővé, hogy a mesterséges intelligencia „megértse a kódot”, hanem azt is, hogy „megértse a vállalati folyamatokat”, „javítsa a felhasználói élményt”, és „zárt körben kezelje a feladatokat”, így egy biztonságos, hatékony és megbízható kód-biztonsági rendszert épít ki a vállalatok számára.