Qianxin lancia ufficialmente il suo primo agente per la sicurezza del codice – Qcode Agents

Generazione di prove: non solo è possibile individuare i rischi, ma anche generare percorsi riproducibili per l’attivazione delle vulnerabilità.
La verifica pratica ha dimostrato che le prestazioni di Qcode Agents nel rilevamento delle vulnerabilità della logica aziendale sono aumentate in modo esponenziale, colmando effettivamente il divario in quest’area critica del settore.
Ridefinire il confine della sicurezza nella catena di fornitura delle applicazioni AI: protezione completa da modello a MCP
Attualmente, la catena di approvvigionamento delle applicazioni AI ha ampiamente superato l’ambito dei tradizionali componenti open source: nuovi elementi, quali i file di modelli, il MCP (Model Context Protocol), le Skill ecc., sono diventati il fulcro dell’estensione della superficie di attacco. Gli strumenti tradizionali SCA spesso generano un numero elevato di falsi positivi e falsi negativi quando devono analizzare questi nuovi oggetti, a causa della mancanza di capacità di rilevamento, convalida o conoscenza specifica del dominio, portando infine a una valutazione errata del rischio.
Qcode Agents ha sviluppato una capacità di rilevamento che copre tutti gli elementi della catena di fornitura dell’IA, integrando nel processo analitico le dipendenze dei modelli, gli strumenti MCP e i collegamenti alle chiamate di Skill. Combinando la profonda base di conoscenze settoriali e la modellazione precisa delle correlazioni accumulate da Qianxin nel campo della catena di fornitura del software negli ultimi 10 anni, Qcode Agents è in grado di generare automaticamente liste di materiali software per applicazioni IA, tracciare chiaramente l’uso di modelli open source, identificare con precisione varie «dipendenze invisibili» nelle applicazioni IA e rendere impossibile nascondere qualsiasi rischio per la sicurezza della catena di fornitura nelle applicazioni IA.
Verifica della robustezza: riproduzione di casi noti e individuazione di potenziali vulnerabilità in progetti mainstream
La capacità di rilevamento di Qcode Agents è stata validata perfettamente in numerosi test, ottenendo prestazioni sorprendenti:
Riproduzione del riferimento industriale: riprodurre completamente le tre tipiche vulnerabilità di sicurezza divulgate al momento del lancio di Claude Code Security, ripristinare con precisione le condizioni che innescano la vulnerabilità, i percorsi di sfruttamento e gli scenari di potenziale pericolo, e dimostrare il carattere innovativo della sua logica di rilevamento.
Test approfonditi su progetti open source: sono stati selezionati noti progetti open source ampiamente utilizzati, come apache-ofbiz, apache-log4j, libpng, gpac, ecc., sui quali sono stati condotti test mirati e approfonditi. Tali test non solo hanno riprodotto con successo le relative vulnerabilità CVE, ma hanno anche indagato in modo esaustivo difetti nella logica aziendale e vulnerabilità ad alto rischio, come gli overflow dello stack. Ad esempio, durante il rilevamento di Apache OFBiz, Qcode Agents ha individuato una vulnerabilità di bypass causata da un meccanismo di verifica dell’accesso incompleto: si tratta di una falla semantica che non può essere identificata tramite analisi statica tradizionale. Grazie all’esperienza pratica interna, Qcode Agents ha compreso con precisione la semantica della verifica negli scenari di login, riuscendo così a individuare questo difetto nascosto.
Principali risultati ottenuti durante la fase di test interna: gli Agenti Qcode hanno identificato oltre 10 potenziali vulnerabilità di sicurezza in sistemi e framework open source diffusi, quali OpenSSL, TensorFlow, OpenCV, Memcached e RuoYi, completando con successo la validazione preliminare e la valutazione del livello di rischio.
Dieci anni per affilare una spada: il combattimento reale è l’unico criterio per verificare l’efficacia.
Le prestazioni eccezionali degli Agenti Qcode non sono un castello in aria, bensì costruite sulla solida base di oltre dieci anni di specializzazione nella sicurezza del codice da parte di Qianxin.
Approfondita esperienza accumulata: Qianxin è uno dei primi produttori cinesi ad aver industrializzato una soluzione SAST (Static Application Security Testing) a livello aziendale. Il prodotto di punta "Code Defender" supporta decine di linguaggi di programmazione, copre migliaia di tipologie di vulnerabilità, serve oltre 1000 importanti clienti governativi e aziendali ed ha accumulato decine di migliaia di regole di alta qualità, validate attraverso l’esperienza pratica.
Verifica di riferimento: il sistema "AI+Code Defender", rilasciato all'inizio del 2025, è stato implementato presso importanti clienti finanziari, tra cui la Bank of Beijing e PICC Technology. I dati indicano che ha ridotto il ciclo di revisione del codice di oltre l'83%, abbattuto i costi del lavoro a un sesto rispetto ai modelli tradizionali e raggiunto un tasso di intercettazione delle vulnerabilità ad alto rischio superiore al 95%.
Osservazioni Conclusive
Dal "Code Defender" all'"AI+Code Defender", fino agli agenti intelligenti "Qcode Agents": ogni passaggio rappresenta un miglioramento continuo e un'iterazione strettamente legata alle esigenze pratiche. Il lancio dei Qcode Agents da parte di Qianxin non è un semplice aggiornamento del prodotto, bensì un'integrazione di esperienza tecnica accumulata, competenze nell'ambito dell'attacco e della difesa e pratica con i clienti. Esso non consente soltanto all'IA di "comprendere il codice", ma anche di "comprendere il business", di "potenziare l'esperienza utente" e di "gestire cicli chiusi", costruendo così per le imprese un sistema di sicurezza del codice sicuro, efficiente e affidabile.