A Qianxin lança oficialmente seu primeiro agente de segurança de código – Qcode Agents

Geração de provas: não apenas os riscos podem ser identificados, mas também caminhos reproduzíveis de acionamento de vulnerabilidades podem ser gerados.
A verificação prática demonstrou que o desempenho dos Qcode Agents na detecção de vulnerabilidades de lógica de negócios aumentou exponencialmente, preenchendo efetivamente a lacuna nessa área crítica do setor.
Reconfigurando o limite de segurança da cadeia de suprimentos de aplicações de IA: proteção abrangente, do modelo ao MCP
Atualmente, a cadeia de suprimentos de aplicações de IA ultrapassou amplamente o escopo dos componentes tradicionais de código aberto – novos elementos, como arquivos de modelos, MCP (Model Context Protocol), Skill, entre outros, tornaram-se o foco da expansão da superfície de ataque. Ferramentas tradicionais de SCA frequentemente sofrem com altos índices de falsos positivos e falsos negativos ao lidar com esses novos objetos, devido à ausência de detecção, validação ou conhecimento especializado no domínio, resultando, por fim, em avaliações incorretas de risco.
A Qcode Agents desenvolveu uma capacidade de detecção que abrange todos os elementos da cadeia de suprimentos de IA, incorporando dependências de modelos, ferramentas MCP e ligações de chamada de habilidades à perspectiva analítica. Combinando a profunda base de conhecimento especializado e a modelagem precisa de correlações acumuladas pela Qianxin no campo da cadeia de suprimentos de software ao longo dos últimos 10 anos, a Qcode Agents pode gerar automaticamente listas de materiais de software para aplicações de IA, rastrear com clareza o uso de modelos de código aberto, identificar com precisão diversas "dependências invisíveis" em aplicações de IA e tornar invisíveis todos os riscos de segurança na cadeia de suprimentos dessas aplicações.
Verificação de robustez: reproduzir casos conhecidos e descobrir vulnerabilidades potenciais em projetos principais
A capacidade de detecção da Qcode Agents foi validada perfeitamente em diversos testes, alcançando desempenho inesperado:
Reproduzindo o referencial do setor: reproduzir integralmente as três vulnerabilidades de segurança típicas divulgadas no lançamento do Claude Code Security, restaurar com precisão as condições de ativação das vulnerabilidades, os caminhos de exploração e os cenários de risco potenciais, e comprovar o caráter inovador de sua lógica de detecção.
Testes aprofundados de projetos de código aberto: foram selecionados projetos de código aberto bem conhecidos e amplamente utilizados, tais como apache-obiz, apache-log4j, libpng, gpac, etc., realizando-se testes aprofundados direcionados, os quais não só reproduziram com sucesso as vulnerabilidades correspondentes CVE, mas também investigaram de forma abrangente defeitos na lógica de negócios e vulnerabilidades de alto risco, como estouro de pilha. Por exemplo, ao detectar o Apache OFBiz, os Agentes Qcode identificaram uma vulnerabilidade de contorno causada por um mecanismo de verificação de login incompleto — um vazamento semântico que não pode ser identificado por análises estáticas tradicionais. Além disso, os Agentes Qcode, com sua experiência prática internalizada, compreenderam com precisão a semântica de verificação dos cenários de login e capturaram com êxito essa falha oculta.
Principais descobertas durante a fase de testes internos: os Agentes Qcode identificaram mais de 10 vulnerabilidades de segurança potenciais em sistemas e frameworks de código aberto amplamente utilizados, como OpenSSL, TensorFlow, OpenCV, Memcached e RuoYi, e concluíram a validação preliminar e a avaliação do nível de risco.
Dez anos para afiar uma espada: o combate real é o único critério para testar a eficácia.
O desempenho excepcional dos Agentes Qcode não é uma ilusão, mas construído sobre a base sólida de mais de dez anos de especialização em segurança de código pela Qianxin.
Acúmulo profundo: a Qianxin é um dos primeiros fabricantes na China a levar à prática produtos empresariais de SAST (Teste Estático de Segurança de Aplicações). Seu produto principal, "Code Defender", suporta dezenas de linguagens, cobre milhares de tipos de vulnerabilidades, atende mais de 1.000 grandes clientes governamentais e empresariais e acumulou dezenas de milhares de regras de alta qualidade, validadas por experiência prática.
Verificação de referência: O "AI+Code Defender", lançado no início de 2025, já foi implementado entre principais clientes do setor financeiro, como o Bank of Beijing e a PICC Technology. Dados indicam que ele reduziu o ciclo de auditoria de código em mais de 83%, diminuiu os custos trabalhistas para 1/6 dos modelos tradicionais e alcançou uma taxa de interceptação de vulnerabilidades de alto risco superior a 95%.
Considerações Finais
Do "Code Defender" ao "AI+Code Defender", e agora aos agentes inteligentes "Qcode Agents", cada etapa representa uma melhoria contínua e uma iteração estreitamente ligada às necessidades práticas. O lançamento dos Qcode Agents pela Qianxin não é uma simples atualização do produto, mas sim uma integração de acúmulo técnico, experiência em ataque e defesa, e prática com clientes. Ele não apenas permite que a IA "entenda código", mas também a capacita a "entender negócios", "potencializar experiências" e "gerenciar ciclos fechados", construindo, assim, um sistema de segurança de código seguro, eficiente e confiável para empresas.