Négy techóriás AI-agentje keresi a kódbiztonsági hibákat
A négy eszköz – a Claude Security, a Codex Security, a Google Mantis és a Cloudflare skill – mind a hibakeresést, a független cáfolatot, majd a javítást követi, hogy csökkentsék a hamis pozitívok arányát.
Négy nagy techcég – az Anthropic, az OpenAI, a Cloudflare és a Google – mostanra mind kiadott egy-egy AI-agentet, amely a forráskód biztonsági hibáit keresi. Az elemzés szerint mind a négy eszköz ugyanazt a háromlépcsős elvet követi: az egyik agent keresi a hibát, egy másik függetlenül cáfolja azt, és csak a megmaradt hibákat javítják ki. (MarkTechPost)
A megközelítés okai között a zajos eredmények állnak. A Google biztonsági csapata szerint az AI-alapú kódszkennerék true-positive (igazi pozitív) aránya 7% alatt van, vagyis a hibák 93%-a hamis riasztás. Ez a magas zajszint több kárt okoz, mint hasznot hoz a felülvizsgálók számára. A megoldás a feladatok szétválasztása: az agent, amely a hibát jelentette, soha nem erősítheti meg azt – írja a MarkTechPost.
Claude Security: Claude Code-ba integrált, API-kulcs nélkül
A Claude Security az Anthropic terméke, amely a Claude Code keretén belül működik, és nem igényel külön API-kulcsot. A bővítmény három fő feladatot támogat: a kódbázis letapogatózása, a változtatások ellenőrzése vagy a javítások javaslata. A kimutatás Markdown- és SARIF 2.1.0-formátumban történik, minden lelethez tartozik súlyosság, CWE-kategória, hatás és reprodukálási lépések. A javítások vázlatként kerülnek mentésre, de a bővítmény nem hajtja végre a commitokat, push-okat vagy pull requesteket.
A Claude Security idővonalán: 2026 februárjában indították el a korlátozott előnézetet Claude Code Security néven, majd július 22-én a bővítmény is beta fázisba lépett. Augusztusban a hosted verzió átköltözött a Claude Mythos 5-re.
Codex Security: CLI/SDK, OpenAI API-kulcs szükséges
Az OpenAI Codex Security egy CLI- és TypeScript SDK-alapú eszköz, amely a @openai/codex-security név alatt érhető el. A szkenner egész repository-kat, kiválasztott útvonalakat vagy Git diff-eket vizsgálhat, és a –mode deep flaggel párhuzamos kereső munkásokat indíthat. A validálás után a leleteket SARIF-, JSON- vagy CSV-formátumban exportálhatja, vagy a Linearbe töltheti fel. A GitHub Action segít időzített vagy pull requestalapú szkennerésben, de a leletek alapértelmezés szerint csak jelentésként kerülnek ki.
A Codex Security Apache-2.0 licencű, de a mögötte álló szkenner korlátozott beta fázisban van, és OpenAI, Amazon Bedrock, OpenRouter vagy Fireworks AI szolgáltatók API-kulcsát igényli. A futtatáshoz Node.js 22.13+ és Python 3.10+ szükséges.