Qianxin oficiálne spustil svojho prvého agenta na bezpečnosť kódu – Qcode Agents

Generovanie dôkazov: riziká sa nedajú len objaviť, ale je možné tiež generovať reprodukovateľné cesty spúšťania zraniteľností.
Praktické overenie ukázalo, že výkon agentov Qcode pri detekcii zraniteľností obchodnej logiky exponenciálne vzrástol a skutočne zaplnil medzeru v tejto kritickej oblasti priemyslu.
Preformulovanie bezpečnostných hraníc dodávateľského reťazca AI aplikácií: od modelu po úplnú ochranu všetkých faktorov MCP
V súčasnosti sa dodávateľský reťazec AI aplikácií výrazne rozšíril za rámec tradičných komponentov open source – nové prvky, ako sú súbory modelov, MCP (Model Context Protocol), Skill atď., sa stali zameraním rozširovania povrchu útoku. Tradičné nástroje SCA často trpia vážnymi falošnými pozitívami a falošnými negatívami pri práci s týmito novými objektami kvôli nedostatku detekcie, overenia alebo odborných znalostí v danej oblasti, čo nakoniec vedie k nesprávnemu posúdeniu rizík.
Qcode Agents vybudoval detekčnú schopnosť, ktorá pokrýva všetky prvky reťazca dodávok umelej inteligencie a do analýzy zahŕňa závislosti modelov, nástroje MCP a odkazy na volania zručností. Spojením hlbokého odborného znalostného základu a presného korelačného modelovania, ktoré Qianxin počas posledných 10 rokov nahromadil v oblasti softvérového reťazca dodávok, Qcode Agents dokáže automaticky generovať zoznamy materiálov softvéru pre aplikácie umelej inteligencie, jasne sledovať používanie open-source modelov, presne identifikovať rôzne „neviditeľné závislosti“ v aplikáciách umelej inteligencie a odhaliť všetky riziká bezpečnosti reťazca dodávok v aplikáciách umelej inteligencie.
Overenie sily: Reprodukcia známych prípadov a objav potenciálnych zraniteľností v populárnych projektoch
Detekčná schopnosť Qcode Agents bola úspešne overená v mnohých testoch a dosiahla neočakávaný výkon:
Preberanie priemyselného referenčného štandardu: úplné prebratie troch typických bezpečnostných slabín, ktoré boli odhalené pri uvedení nástroja Claude Code Security, presné obnovenie podmienok spúšťania týchto slabín, ciest ich využitia a potenciálnych nebezpečných scénárov a dokázanie pokročilosti jeho logiky detekcie.
Hlboké testovanie open-source projektov: Boli vybrané známe open-source projekty s širokým využitím, napríklad apache-ofbiz, apache-log4j, libpng, gpac atď., a uskutočnilo sa cieľové hlboké testovanie. Toto testovanie nielen úspešne reprodukovalo príslušné CVE bezpečnostné medzery, ale tiež komplexne preskúmalo chyby v obchodnej logike a vysokorizikové bezpečnostné medzery, ako napríklad pretečenie zásobníka. Napríklad pri detekcii Apache OFBiz agenti Qcode odhalili zraniteľnosť obchádzania spôsobenú neúplným mechanizmom overovania prihlásenia – ide o sémantickú medzeru, ktorú tradičná statická analýza nedokáže identifikovať. Agenti Qcode však svojou vnútornou praktickou skúsenosťou presne pochopili sémantiku overovania v scénarioch prihlásenia a úspešne zachytili túto skrytú chybu.
Hlavné zistenia počas vnútornej fázy testovania: Agenti Qcode identifikovali viac ako 10 potenciálnych bezpečnostných slabín v populárnych open-source systémoch a rámcoch, ako sú OpenSSL, TensorFlow, OpenCV, Memcached a RuoYi, a dokončili predbežné overenie a posúdenie úrovne rizika.
Desať rokov na ostrenie meča: skutočný boj je jediným kritériom pre testovanie účinnosti.
Vynikajúci výkon agentov Qcode nie je len ilúziou, ale je postavený na pevnom základe viac ako desaťročnej práce spoločnosti Qianxin v oblasti bezpečnosti kódu.
Hlboké nahromadenie: Qianxin je jedným z najskorších výrobcov v Číne, ktorí implementovali podnikové SAST (Static Application Security Testing) produkty. Flagshipový produkt „Code Defender“ podporuje desiatky jazykov, pokrýva tisíce typov zraniteľností, slúži viac ako 1000 veľkým vládnym a podnikovým klientom a má nahromadených desiatky tisíc vysokej kvality pravidiel, ktoré boli overené v praxi.
Overovanie referenčných hodnôt: Nástroj „AI+Code Defender“, uvedený na trh na začiatku roku 2025, sa už nasadil u významných finančných klientov, ako sú Bank of Beijing a PICC Technology. Údaje ukazujú, že skrátil cyklus auditu kódu o viac ako 83 %, znížil pracovné náklady na jednu šiestu hodnoty tradičných modelov a dosiahol mieru zachytenia zraniteľností s vysokým rizikom vyššiu ako 95 %.
Záverečné poznámky
Od nástroja „Code Defender“ cez „AI+Code Defender“ až po inteligentného agenta „Qcode Agents“ – každá z týchto fáz predstavuje postupné zlepšenie a iteráciu úzko prepojenú s praktickými požiadavkami. Uvedenie nástroja Qcode Agents spoločnosťou Qianxin nie je len jednoduchou aktualizáciou produktu, ale integráciou technického know-how, skúseností z oblasti útokov a obrany a reálneho nasadenia u zákazníkov. Tento prístup umožňuje umelej inteligencii nielen „porozumieť kódu“, ale aj „porozumieť podnikovej činnosti“, „posilniť užívateľské skúsenosti“ a „zabezpečiť uzavreté procesné slučky“, čím vytvára bezpečný, efektívny a spoľahlivý systém zabezpečenia kódu pre podniky.