Qianxin oficialiai pristato savo pirmąjį kodų saugumo agentą – Qcode Agents

Įrodymų generavimas: ne tik galima aptikti rizikas, bet ir sukurti atkuriamus pažeidžiamumų aktyvinimo kelius.
Praktinė verifikacija parodė, kad Qcode Agentų našumas aptinkant verslo logikos pažeidžiamumus išaugo eksponentiškai, taip tikrai užpildant šios kritinės pramonės srities spragą.
AI programinės įrangos tiekimo grandinės saugumo ribų performavimas: nuo modelio iki MCP visų veiksnių apsauga
Šiuo metu AI programinės įrangos tiekimo grandinė jau seniai viršijo tradicinių atvirojo kodo komponentų ribas – nauji elementai, tokie kaip modelių failai, MCP (Model Context Protocol), įgūdžiai (Skill) ir kt., tapo puolamojo paviršiaus plėtros dėmesio objektais. Tradiciniai SCA įrankiai, susidurę su šiais naujais objektais, dažnai patiria rimtų klaidingų teigiamųjų ir klaidingų neigiamųjų rezultatų dėl trūkstamos aptikimo, patvirtinimo ar srities žinių, dėl ko galiausiai kyla neteisinga rizikos įvertinimo problema.
Qcode Agents sukūrė aptikimo galimybę, apimančią visus dirbtinio intelekto tiekimo grandinės elementus, įtraukdama modelių priklausomybes, MCP įrankius ir įgūdžių iškvietimo nuorodas į analizės perspektyvą. Jungdama gilų Qianxin domeno žinyną ir tikslų koreliacinį modeliavimą, kurį per pastaruosius 10 metų sukaupta programinės įrangos tiekimo grandinės srityje, Qcode Agents gali automatiškai generuoti dirbtinio intelekto programų programinės įrangos medžiagų sąrašus, aiškiai sekti atvirųjų šaltinių modelių naudojimą, tiksliai identifikuoti įvairias „neįžvelgiamas priklausomybes“ dirbtinio intelekto programose ir padaryti įvairius dirbtinio intelekto programų tiekimo grandinės saugos rizikos veiksnius nepaslėptinus.
Stiprumo patvirtinimas: atkuriami žinomi atvejai ir aptinkamos potencialios pažeidžiamosios vietos pagrindinėse projektų sistemose
Qcode Agents aptikimo galimybė buvo puikiai patvirtinta keliuose testuose, pasiekiant netikėtų rezultatų:
Pradinio pramonės etalono atkūrimas: visiškai atkurti tris tipiškus saugumo trūkumus, kurie buvo paskelbti kartu su Claude Code Security paleidimu, tiksliai atkurti trūkumų aktyvinimo sąlygas, naudojimo kelius ir galimus pavojingus scenarijus bei įrodyti jos aptikimo logikos pažangumą.
Atidarojo kodo projektų gilus testavimas: buvo pasirinkti žinomi ir plačiai naudojami atidarojo kodo projektai, pvz., apache-obiz, apache-log4j, libpng, gpac ir kt., kuriems buvo atliktas tikslinis gilus testavimas. Šis testavimas ne tik sėkmingai atkurė atitinkamas CVE pažeidžiamumų vietas, bet taip pat išsamiai ištirti verslo logikos defektai ir didelės rizikos pažeidžiamumai, pvz., steko perpildymas. Pavyzdžiui, aptikus Apache OFBiz, Qcode Agents atrado aplenkimo pažeidžiamumą, kurį sukėlė nepilna prisijungimo patvirtinimo mechanizmo realizacija – tai semantinė spraga, kuri negali būti nustatyta naudojant tradicinį statinį analizės metodą. Be to, Qcode Agents, remdamiesi įsisavinusiu praktiniu patyrimu, tiksliai suprato prisijungimo scenarijų patvirtinimo semantiką ir sėkmingai aptiko šią paslėptą klaidą.
Pagrindiniai išvados vidinės testavimo fazėje: Qcode agentai nustatė daugiau nei 10 galimų saugumo pažeidžiamumų pagrindinėse atvirosios kodo sistemose ir programinėse įrankių rinkose, tokiuose kaip OpenSSL, TensorFlow, OpenCV, Memcached ir RuoYi, taip pat atliko pirminę patvirtinimą ir rizikos lygio vertinimą.
Dešimt metų kalavijui pramušti: tik realus mūšis yra vienintelis veiksmingumo tikrinimo kriterijus.
Qcode agentų puikus našumas nėra oru pastatyta pilis, bet sukurtas ant tvirto Qianxin kodų saugumo auklėjimo, kuris trunka daugiau nei dešimt metų, pamato.
Gili patirtis: Qianxin yra viena pirmųjų Kinijoje įmonių, įgyvendinusių įmonių lygio SAST (statinio programinės įrangos saugumo testavimo) produktų komercinį naudojimą. Pagrindinis produktas „Code Defender“ palaiko dešimtis kalbų, apima tūkstančius pažeidžiamumų tipų, aptarnauja daugiau nei 1000 didelių vyriausybinių ir įmonių klientų bei susikaupė dešimtys tūkstančių aukštos kokybės taisyklių, patvirtintų praktinės patirties.
Bendmarko patvirtinimas: „AI+Code Defender“, išleistas ankstyvąją 2025-ųjų metų pradžią, jau įdiegtas viršutinės lygio finansų klientų, tokių kaip Bank of Beijing ir PICC Technology, sistemose. Duomenys rodo, kad jis sutrumpino kodų auditavimo ciklą daugiau nei 83 %, sumažino darbo sąnaudas iki 1/6 tradicinių modelių lygio ir pasiekė aukšto rizikos pažeidžiamumų aptikimo rodiklį virš 95 %.
Uždaromi komentarai
Nuo „Code Defender“ iki „AI+Code Defender“, o dabar – iki „Qcode Agents“ intelektualaus agento: kiekvienas žingsnis yra nuolatinis tobulinimas ir iteracija, glaudžiai susijusi su praktinėmis poreikiais. Qianxin įmonės išleistas „Qcode Agents“ nėra paprastas produkto atnaujinimas, o techninės patirties, puolimo ir gynimo įgūdžių bei klientų praktikos integracija. Jis ne tik leidžia dirbtiniam intelektui „suprasti kodą“, bet taip pat – „suprasti verslą“, „skatinti patirtį“ ir „valdyti uždarus ciklus“, sukurdamas įmonėms saugią, efektyvią ir patikimą kodų saugos sistemą.