Qianxin офіційно запускає свого першого агента безпеки коду — Qcode Agents

Створення доказів: не лише можна виявити ризики, а й згенерувати відтворювані шляхи спрацьовування вразливостей.
Практичне верифікування показало, що продуктивність агентів Qcode у виявленні вразливостей бізнес-логіки зросла експоненціально, справді заповнивши прогалину в цій критичній сфері галузі.
Переформатування меж безпеки ланцюга постачання AI-застосунків: повний захист усіх компонентів — від моделі до MCP.
Наразі ланцюг постачання AI-застосунків значно вийшов за межі традиційних компонентів з відкритим кодом — нові елементи, такі як файли моделей, MCP (Model Context Protocol), Skill тощо, стали фокусом розширення поверхні атак. Традиційні інструменти SCA часто дають серйозну кількість хибнопозитивних і хибнонегативних результатів при роботі з цими новими об’єктами через відсутність методів виявлення, верифікації чи предметних знань, що призводить до остаточного неправильного оцінювання ризиків.
Qcode Agents створив можливість виявлення, яка охоплює всі елементи ланцюга постачання штучного інтелекту й включає залежності моделей, інструменти MCP та посилання на виклики навичок у перспективу аналізу. Поєднуючи глибоку предметну базу знань і точне кореляційне моделювання, накопичені Qianxin у сфері ланцюгів постачання програмного забезпечення протягом останніх 10 років, Qcode Agents може автоматично генерувати списки матеріалів програмного забезпечення для застосунків ШІ, чітко відстежувати використання відкритих моделей, точно ідентифікувати різні «невидимі залежності» в застосунках ШІ та робити всі ризики безпеки ланцюгів постачання в застосунках ШІ повністю прозорими.
Перевірка міцності: відтворення відомих випадків і виявлення потенційних уразливостей у провідних проєктах
Можливість виявлення Qcode Agents була ідеально перевірена в кількох тестах й показала неочікувано високу ефективність:
Відтворення галузевого еталону: повне відтворення трьох типових уразливостей безпеки, розголошених під час запуску Claude Code Security, точне відновлення умов спрацювання вразливостей, шляхів їхнього використання та потенційних сценаріїв небезпеки й доведення передовості логіки їхнього виявлення.
Глибоке тестування проєктів з відкритим кодом: було обрано відомі проєкти з відкритим кодом, що широко використовуються, наприклад apache-obiz, apache-log4j, libpng, gpac тощо, і проведено цільове глибоке тестування. Це не лише успішно відтворило відповідні уразливості CVE, а й комплексно дослідило дефекти бізнес-логіки та високоризикові уразливості, такі як переповнення стеку. Наприклад, під час виявлення Apache OFBiz агенти Qcode виявили уразливість обходу, спричинену неповним механізмом перевірки входу в систему — це семантична лазівка, яку традиційний статичний аналіз не може виявити. Агенти Qcode, ґрунтуючись на вбудованому практичному досвіді, точно зрозуміли семантику перевірки сценаріїв входу в систему й успішно виявили цей прихований дефект.
Основні висновки під час внутрішнього етапу тестування: агенти Qcode виявили понад 10 потенційних уразливостей безпеки в популярних системах та фреймворках з відкритим кодом, зокрема в OpenSSL, TensorFlow, OpenCV, Memcached та RuoYi, і завершили попередню верифікацію та оцінку рівня ризику.
Десять років, щоб загострити меч: справжні бойові умови — єдиний критерій перевірки ефективності.
Виняткові результати роботи агентів Qcode — це не марення, а результат міцної основи, створеної завдяки більш ніж десятирічному досвіду Qianxin у сфері безпеки програмного коду.
Глибоке накопичення: Qianxin є одним із перших виробників у Китаї, які реалізували продукти для корпоративного рівня SAST (статичного тестування безпеки програмного забезпечення). Флагманський продукт «Code Defender» підтримує десятки мов програмування, охоплює тисячі типів уразливостей, обслуговує понад 1000 великих державних та корпоративних клієнтів і має в своєму арсеналі десятки тисяч високоякісних правил, перевірених на практиці.
Перевірка еталонних показників: рішення «AI+Code Defender», запущене на початку 2025 року, вже впроваджене серед провідних фінансових клієнтів, зокрема Bank of Beijing та PICC Technology. Дані свідчать, що воно скоротило тривалість аудиту коду більш ніж на 83 %, знизило трудомісткість до 1/6 порівняно з традиційними моделями й досягло рівня перехоплення вразливостей високого ризику понад 95 %.
Заключні зауваження
Від «Code Defender» до «AI+Code Defender», а тепер — до інтелектуального агента «Qcode Agents»: кожен такий крок є послідовним поліпшенням і ітерацією, тісно пов’язаними з практичними потребами. Запуск Qcode Agents компанією Qianxin — це не просто оновлення продукту, а синтез технічного досвіду, знань у сфері атак і захисту та реального клієнтського досвіду. Це рішення дозволяє ШІ не лише «розуміти код», а й «розуміти бізнес», «підсилювати користувацький досвід» та «забезпечувати замкнені процеси», створюючи для підприємств безпечну, ефективну й надійну систему безпеки коду.