ذكاء اصطناعي يصيد أخطاء المنطق قبل أن يفعلها المهاجمون - تايلور لوتريل وليامز، سونار
Original · AI That Hunts Logic Bugs Before Attackers Do - Taylor Luttrell-Williams, Sonar
Key Takeaway
يكتشف وكيل سونار كيوب هانتر ثغرات منطق الأعمال ومستوى النوايا التي تعجز أدوات التحليل الثابت التقليدية عن رصدها عبر استدلال ذكي متطور.
Highlights
يتم اكتشاف فئات الثغرات الأمنية المتعلقة بالنوايا ومنطق الأعمال عبر وكيل سونار كيوب هانتر قبل استغلالها.
تعتمد بنية الوكيل على رسم خريطة شاملة لمستودع التعليمات البرمجية تشمل ثلاثة وكلاء متخصصين وتحققاً تنافسياً لتقليل الإيجابيات الكاذبة.
تنضم شركة سونار إلى برنامج شركاء الأمن السيبراني دايبريك من أوبن إي آي لتوفير قدرات استدلال متطورة مباشرة داخل وكيل هانتر.
أظهر الفحص التجريبي لتطبيق بايثون 46 مشكلة مفتوحة موزعة على التحكم المعيب في الوصول ومنطق الأعمال والمصادقة والجلسات.
يتيح الوكيل إمكانية التشغيل اليدوي الفوري أو الجدولة التلقائية لفحص فروع محددة داخل مستودعات التعليمات البرمجية.
Timeline
مقدمة عن تحديات الأمن البرمجي وقصور أدوات التحليل الثابت
تتطلب سرعة إنتاج البرمجيات فئة جديدة من الوكلاء الأمنيين القادرين على سد الفجوة التي تركتها الماسحات الضوئية التقليدية. ترتبط هذه الثغرات بسلامة النية البرمجية ومنطق العمل الأساسي وليست مجرد أخطاء برمجية بحتة.
- تُنتج البرمجيات بسرعة هائلة مما يؤدي إلى وصول عدد غير مسبوق من الثغرات إلى بيئات الإنتاج.
- تعجز أدوات التحليل الثابت التقليدية القائمة على الأنماط عن اكتشاف مشكلات النوايا ومنطق الأعمال.
آلية عمل وكيل سونار كيوب هانتر والشراكة مع أوبن إي آي
يعتمد النظام على تحليل العلاقات بين المكونات وتحديد التوقعات الأمنية بدقة عالية. تضمن قدرات الاستدلال المتطورة من فئة دايبريك دقة النتائج وقابليتها للتكرار والمراجعة ضمن نهج متعدد الطبقات.
- يرسم الوكيل خريطة شاملة لمستودع التعليمات البرمجية لتشغيل ثلاثة وكلاء متخصصين وتحقق تنافسي.
- تستفيد سونار من برنامج شركاء الأمن السيبراني دايبريك من أوبن إي آي لتعزيز قدرات الاستدلال والتحقق.
استعراض عملي لوكيل هانتر وتصنيف الثغرات الأمنية
تظهر النتائج مباشرة داخل منصة سونار كيوب مصنفة حسب التحكم المعيب في الوصول ومنطق الأعمال والمصادقة. يوفر الوكيل تفسيرات مفصلة لمكان وجود الثغرة وسبب خطورتها مع تقديم مقترحات للإصلاح والمعالجة التلقائية.
- استغرق الفحص التجريبي على تطبيق بايثون حوالي ساعة وأسفر عن اكتشاف 46 مشكلة مفتوحة.
- تتضمن لوحة التحكم إمكانيات الجدولة التلقائية وتعيين مستويات الخطورة وإسناد المعالجة للمطورين.
Description
Pattern-based SAST catches bad code, but not valid code with flawed intent: broken access control, business logic gaps and authentication holes. Taylor Luttrell-Williams of Sonar introduces the SonarQube Hunter Agent, which maps a repo, runs three specialist agents and adversarially validates every finding, and announces Sonar joining the OpenAI Daybreak cyber partner program. The live demo turns up 46 issues in a Python app, including a user who can make themselves admin and an MFA bypass. Chapters: 0:00 Intro 0:46 Why SAST misses intent bugs 2:37 How Hunter Agent works 4:12 Sonar joins OpenAI Daybreak 5:44 Layering SAST and Hunter Agent 6:27 Demo: running a scan 8:29 46 findings across three classes 10:01 Inside a broken access control bug 12:26 Scheduled scans 13:12 Automatic remediation Taylor Luttrell-Williams https://www.sonarsource.com Join us in SF for the second annual AIE CODE summit: https://aie.codes our last flagship summit of 2026. Applications live now!