Qianxin официально запускает свой первый агент безопасности кода — Qcode Agents

Генерация доказательств: не только выявляются риски, но и создаются воспроизводимые пути активации уязвимостей.
Практическая проверка показала, что эффективность агентов Qcode при обнаружении уязвимостей бизнес-логики возросла экспоненциально, фактически ликвидировав пробел в этой критически важной области отрасли.
Формирование новых границ безопасности цепочки поставок ИИ-приложений: защита всех компонентов — от модели до MCP.
В настоящее время цепочка поставок приложений искусственного интеллекта вышла далеко за рамки традиционных компонентов с открытым исходным кодом: такие новые элементы, как файлы моделей, MCP (протокол контекста модели), навыки (Skill) и др., стали основными объектами расширения поверхности атаки. Традиционные инструменты анализа состава программного обеспечения (SCA) зачастую дают серьёзные ложноположительные и ложноотрицательные результаты при работе с этими новыми объектами из-за отсутствия соответствующих механизмов обнаружения, проверки или предметных знаний, что в конечном итоге приводит к ошибочной оценке рисков.
Qcode Agents разработала функцию обнаружения, охватывающую все элементы цепочки поставок ИИ, включая зависимости моделей, инструменты MCP и ссылки на вызовы навыков в аналитическую перспективу. Объединяя глубокую предметную базу знаний и точное корреляционное моделирование, накопленные Qianxin в области программной цепочки поставок за последние 10 лет, Qcode Agents способна автоматически генерировать списки материалов программного обеспечения для приложений ИИ, чётко отслеживать использование моделей с открытым исходным кодом, точно выявлять различные «невидимые зависимости» в приложениях ИИ и делать любые риски безопасности в цепочке поставок приложений ИИ полностью прозрачными.
Проверка надёжности: воспроизведение известных случаев и выявление потенциальных уязвимостей в основных проектах
Функция обнаружения Qcode Agents прошла успешную проверку в нескольких тестах и продемонстрировала неожиданно высокую эффективность:
Воспроизведение отраслевого эталона: полное воспроизведение трёх типичных уязвимостей безопасности, раскрытых при запуске Claude Code Security, точное восстановление условий срабатывания уязвимостей, путей их эксплуатации и потенциальных сценариев опасности, а также подтверждение передовости логики их обнаружения.
Глубокое тестирование проектов с открытым исходным кодом: были выбраны известные и широко используемые проекты с открытым исходным кодом, такие как apache-ofbiz, apache-log4j, libpng, gpac и др.; для них проведено целенаправленное глубокое тестирование, которое не только позволило успешно воспроизвести соответствующие уязвимости CVE, но и всесторонне выявило дефекты бизнес-логики и высокорисковые уязвимости, например переполнение стека. Например, при анализе Apache OFBiz агенты Qcode обнаружили уязвимость обхода, вызванную неполным механизмом проверки входа в систему — это семантическая лазейка, которую традиционный статический анализ выявить не может. Благодаря внутреннему практическому опыту агенты Qcode точно поняли семантику проверки в сценариях входа в систему и успешно обнаружили этот скрытый дефект.
Основные результаты внутреннего тестирования: агенты Qcode выявили более 10 потенциальных уязвимостей в системах и фреймворках с открытым исходным кодом, таких как OpenSSL, TensorFlow, OpenCV, Memcached и RuoYi, и завершили предварительную верификацию и оценку уровня риска.
Десять лет, чтобы заточить меч: реальное применение — единственный критерий проверки эффективности.
Выдающиеся показатели работы агентов Qcode — не воздушный замок, а результат десятилетней устойчивой работы Qianxin в области безопасности исходного кода.
Глубокое накопление: Qianxin — один из первых производителей в Китае, внедривших на корпоративном уровне продукт SAST (статическое тестирование безопасности приложений). Флагманский продукт «Code Defender» поддерживает десятки языков программирования, охватывает тысячи типов уязвимостей, обслуживает более 1000 крупных государственных и корпоративных заказчиков и включает десятки тысяч высококачественных правил, проверенных на практике.
Проверка эталонных показателей: решение «AI+Code Defender», выпущенное в начале 2025 года, внедрено у ведущих финансовых клиентов, таких как Bank of Beijing и PICC Technology. Данные показывают, что оно сократило цикл аудита кода более чем на 83 %, снизило трудозатраты до 1/6 по сравнению с традиционными моделями и достигло показателя перехвата уязвимостей высокого риска свыше 95 %.
Заключительные замечания
От решения «Code Defender» к «AI+Code Defender», а затем — к интеллектуальному агенту «Qcode Agents»: каждый этап представляет собой непрерывное совершенствование и итерацию, тесно связанную с практическими потребностями. Выпуск Qcode Agents компанией Qianxin — это не просто обновление продукта, а интеграция технических наработок, опыта в области атак и защиты, а также практических решений, реализованных у заказчиков. Это позволяет ИИ не только «понимать код», но и «понимать бизнес», «усиливать пользовательский опыт» и «обеспечивать замкнутые процессы», создавая для предприятий безопасную, эффективную и надёжную систему обеспечения безопасности кода.