能在攻击者之前找出逻辑漏洞的 AI - Taylor Luttrell-Williams, Sonar

Highlights

• SonarCube Hunter Agent 专门用于检测传统静态代码分析工具无法发现的意图和逻辑级漏洞。

• 该系统首先对代码库进行全局映射，然后启动三个专门的子智能体来检查组件关系并运行对抗性验证。

• Sonar 已加入 OpenAI Daybreak 网络安全合作伙伴计划，将前沿推理模型直接集成在 Hunter Agent 中。

• 在对一个 Python 应用程序的实际扫描中，Hunter Agent 在大约一个小时内发现了 46 个开放问题。

• 用户可以将发现的问题直接分配给 SonarCube 修复智能体，以实现对安全问题的自动化补救。

Timeline

1. 00:00 - 02:37

   传统安全扫描的盲区与 Hunter Agent 的诞生

   随着智能体时代的到来，代码发布速度和体量达到史无前例的水平。传统的静态代码分析工具虽然能找到代码中的常见错误，但无法识别违背底层业务逻辑的意图性问题。由于渗透测试频率有限，亟需新一代智能体来搜寻和检测这些深层漏洞。

   • 传统基于模式的 SAST 扫描器无法有效处理涉及代码意图和逻辑级别的漏洞。
   • 由智能体生成的代码变更发布间隔不断缩短，导致大量逻辑漏洞流入生产环境。
   • SonarCube Hunter Agent 专为填补这一空白而设计，旨在抢在攻击者之前发现问题。
2. 02:37 - 06:22

   Hunter Agent 的工作原理与 OpenAI Daybreak 合作

   Hunter Agent 接收代码库作为输入，处理复杂的智能体编排并输出高质量问题。通过集成 OpenAI Daybreak 级别的推理能力，每个线索在呈现前都会经过详细调查和验证，确保发现结果精确、可重复且可审计，从而与传统 SAST 工具形成双层验证。

   • 系统通过全局映射和三个专门的子智能体来定义数据安全期望并进行对抗性验证。
   • Sonar 加入 OpenAI Daybreak 网络安全合作伙伴计划，在智能体内部提供前沿推理。
   • 建议将 SAST 和 Hunter Agent 结合在单一平台中，以实现零信任的分层安全验证。
3. 06:22 - 12:22

   产品演示：扫描流程与问题分类

   在云端仪表板或自托管服务器中，用户可以触发按需扫描或配置定期计划扫描。扫描完成后，所有发现都会直接记录到 SonarCube 的统一问题列表中，并带有清晰的严重级别、位置说明以及修复建议，方便开发人员进行确认和分配。

   • 扫描过程包括克隆代码库、分析架构、执行深度上下文扫描以及汇总去重发现。
   • 示例项目的扫描在大约一小时内完成，共发现 46 个开放问题。
   • 发现的问题主要分布在越权访问漏洞、业务逻辑漏洞、身份验证和会话漏洞三大类别中。
4. 12:22 - 14:01

   自动化计划扫描与修复智能体

   除了按需运行，Hunter Agent 还可以按天、按周或按月定期扫描指定分支。配合新推出的 SonarCube 修复智能体，系统不仅能指出问题所在，还能直接负责补救这些安全问题，确保代码库在被攻击前保持安全。

   • Hunter Agent 支持高度可配置的定期计划扫描，可指定频率和特定分支。
   • 用户可以将发现的问题分配给 SonarCube 修复智能体实现自动化补救。
   • 该工具能够使开发团队在攻击者之前捕获逻辑级漏洞并加以解决。