Статический анализ, заряженный ИИ

Несколько недель назад новость о выходе Claude Code Security хорошо встряхнула рынок кибербеза. Некоторые компании на этом рынке потеряли 20% своей капитализации. Думаю, что на это снижение в значительной степени повлияли торговые роботы на рынке акций. Тем не менее, CEO этих компаний успокаивали своих акционеров и журналистов комментариями в LinkedIn, а генеральный директор крупного appsec-вендора Snyk, несмотря на успехи в количестве клиентов и выручке, оставил свой пост с идеей, что его место в компании теперь должен занять AI-центричный лидер.

Как заявляет Anthropic в своем анонсе, Claude Code Security сканирует кодовую базу на уязвимости и предлагает исправления для ревью человеком, позволяя командам находить и исправлять дефекты, которые классические методы часто пропускают. Проще говоря, Anthropic выпустил решение, которое претендует на замену статического анализатора безопасности - SAST.

Традиционный статанализ основан на эвристиках и оценке структуры прграммы. Его слабая сторона: огромное число ложных срабатываний. В исследовательском подразделении Huawei Chong-Ming при разработке своего анализатора, мы постоянно боролись с количеством ошибок первого и второго рода и придумывали новые алгоритмы.

Сегодня классические анализаторы не успевают за скоростью разработки и шумят неприоритетными находками. Вот здесь LLM принесли дополнительную ценность. Модель лучше понимает семантику кода, и это позволяет ей лучше находить уязвимости, связанные с бизнес-логикой. И пусть вероятностный результат модели (то есть, сегодня она видит уязвимость в кодовой базе, а завтра в этой же базе ничего не находит) не позволяет ей полностью заменить формальную верификацию, но свою нишу она точной займет в общем процессе безопасной разработки.

На рыке формируется категория решений, которые не используют классику в виде сигнатур и правил, а опираются на интерпретацию кодовой базы с помощью LLM: AI SAST. Мы уже посмотрели на архитектуру открытого проекта из этой категории. Интересно еще детальнее взглянуть на другие решения в этом направлении и подглядеть, как они обходят ограничения традиционных подходов статанализа.

@makrushin l MAX l VK