挖掘业务逻辑缺陷并发起修复 PR
随着 AI 代码生成速度的加快，安全团队正面临大量无法处理的发现结果。任务：随着 AI 代码生成速度的加快，安全团队正面临大量无法处理的发现结果。部分团队发现的安全问题数量增加了 10 到 100 倍，且其中许多是误报。安全团队被困在未能跟上步伐的工具中。扫描器虽然能提供大规模覆盖，但由于无法推理业务逻辑和发现链式漏洞攻击，往往会遗漏关键利用路径。AI 安全工具通常难以对整个代码库进行有效推理。它们都无法验证哪些发现实际可利用，也无法编写修复代码。Devin Security Swarm 将工程能力带给安全团队，使他们能够自行发布修复。它在代码库中查找漏洞，验证其在运行时可利用，并交付修复 PR。与最接近的同类替代品相比，Security Swarm 以低 30% 的成本发现更多经过验证的漏洞。工作原理：一组并行代理调查代码库的不同部分。每个代理跨文件进行推理——捕捉业务逻辑缺陷、链式认证绕过和跨服务利用路径。然后 Devin 将单个发现组合成完整的攻击路径，并在隔离沙箱中复现每一个以确认运行时可利用性。到达安全团队手中的是一组确认可利用的漏洞，附带攻击路径和复现步骤。在 Devin 确认漏洞后，它会编写补丁并发起 PR 以供审查。如需完整的技术解析，请阅读我们关于 Agentic MapReduce 架构的博客文章。性能：我们在一个包含 50 个真实世界漏洞的基准测试中评估了 Devin Security Swarm，每个漏洞都关联到一个已发布的 GitHub Security Advisory (GHSA)，涵盖 Go、Python、JavaScript、Rust、Ruby、C#、Java、Swift、PHP、Elixir、Erlang、C、Kotlin 和 Dart 仓库。只有 Devin 发现了其他工具遗漏的三个严重漏洞：通过模板注入实现的 PHP 沙箱绕过、通过元数据值解析实现的参数注入，以及 Spring Kafka 中过于宽泛的反序列化表面。在此阅读更多关于我们评估方法的信息。扫描配置文件：Devin 可以直接从现有的威胁模型文档生成扫描配置文件，针对特定的攻击者画像进行定制，并在整个组织中应用，无需针对每个仓库进行配置或 CI 设置。每个配置文件的批量大小可配置，从而直接控制深度和成本。扫描可按每日、每周或自定义计划运行。首次完整扫描在整个代码库中建立基线。后续扫描仅处理自上次运行以来更改的代码，因此成本随时间降低。如何开始：Devin Security Swarm 已被主要公司用于常规安全扫描，并即日起可用。对于希望获得更多指导的企业，Devin Security Vulnerability Remediation Program 是一项为期六周的参与计划，旨在帮助组织减少漏洞积压并建立持续的修复机制。Cognition 的前置部署工程团队将与您的团队嵌入合作。首先，Devin 会清理您的 CVE 积压。之后，Security Swarm 将被设置为持续查找和修复漏洞。；工具：Devin。人工角色：原始帖子没有说明人如何参与。；局限：源材料为供应商营销内容，性能声明缺乏独立审计。集成需要从威胁模型配置扫描配置文件，并设置 CI/CD 管道以进行 PR 审查。所有代码更改都需要人工批准；该工具不会自动合并修复。。
工具
Agent Work Atlas 发布日期:
概述
随着 AI 代码生成速度的加快，安全团队正面临大量无法处理的发现结果。
工作流程
随着 AI 代码生成速度的加快，安全团队正面临大量无法处理的发现结果。部分团队发现的安全问题数量增加了 10 到 100 倍，且其中许多是误报。安全团队被困在未能跟上步伐的工具中。扫描器虽然能提供大规模覆盖，但由于无法推理业务逻辑和发现链式漏洞攻击，往往会遗漏关键利用路径。AI 安全工具通常难以对整个代码库进行有效推理。它们都无法验证哪些发现实际可利用，也无法编写修复代码。Devin Security Swarm 将工程能力带给安全团队，使他们能够自行发布修复。它在代码库中查找漏洞，验证其在运行时可利用，并交付修复 PR。与最接近的同类替代品相比，Security Swarm 以低 30% 的成本发现更多经过验证的漏洞。工作原理：一组并行代理调查代码库的不同部分。每个代理跨文件进行推理——捕捉业务逻辑缺陷、链式认证绕过和跨服务利用路径。然后 Devin 将单个发现组合成完整的攻击路径，并在隔离沙箱中复现每一个以确认运行时可利用性。到达安全团队手中的是一组确认可利用的漏洞，附带攻击路径和复现步骤。在 Devin 确认漏洞后，它会编写补丁并发起 PR 以供审查。如需完整的技术解析，请阅读我们关于 Agentic MapReduce 架构的博客文章。性能：我们在一个包含 50 个真实世界漏洞的基准测试中评估了 Devin Security Swarm，每个漏洞都关联到一个已发布的 GitHub Security Advisory (GHSA)，涵盖 Go、Python、JavaScript、Rust、Ruby、C#、Java、Swift、PHP、Elixir、Erlang、C、Kotlin 和 Dart 仓库。只有 Devin 发现了其他工具遗漏的三个严重漏洞：通过模板注入实现的 PHP 沙箱绕过、通过元数据值解析实现的参数注入，以及 Spring Kafka 中过于宽泛的反序列化表面。在此阅读更多关于我们评估方法的信息。扫描配置文件：Devin 可以直接从现有的威胁模型文档生成扫描配置文件，针对特定的攻击者画像进行定制，并在整个组织中应用，无需针对每个仓库进行配置或 CI 设置。每个配置文件的批量大小可配置，从而直接控制深度和成本。扫描可按每日、每周或自定义计划运行。首次完整扫描在整个代码库中建立基线。后续扫描仅处理自上次运行以来更改的代码，因此成本随时间降低。如何开始：Devin Security Swarm 已被主要公司用于常规安全扫描，并即日起可用。对于希望获得更多指导的企业，Devin Security Vulnerability Remediation Program 是一项为期六周的参与计划，旨在帮助组织减少漏洞积压并建立持续的修复机制。Cognition 的前置部署工程团队将与您的团队嵌入合作。首先，Devin 会清理您的 CVE 积压。之后，Security Swarm 将被设置为持续查找和修复漏洞。
原文报告的结果
供应商声称 Devin 以比同类工具低 30% 的成本发现更多经过验证的漏洞。在 50 个真实世界漏洞的基准测试中，Devin 的召回率为 72%，每次运行成本为 90.23 美元，并发现了竞争对手遗漏的三个严重问题。源材料未提供这些指标的独立验证。
人工角色
原始帖子没有说明人如何参与。
局限
源材料为供应商营销内容，性能声明缺乏独立审计。集成需要从威胁模型配置扫描配置文件，并设置 CI/CD 管道以进行 PR 审查。所有代码更改都需要人工批准；该工具不会自动合并修复。
试一试
我需要为 [公司名称] 的代码库评估 Devin Security Swarm。首先，使用我们位于 [威胁模型 URL/路径] 的现有威胁模型配置扫描配置文件。在一个小型非生产仓库 [仓库名称] 上运行试运行扫描以测试工作流程。审查生成的发现结果，并确保沙箱复现步骤清晰。如果结果有效，请继续为单个已确认的漏洞生成修复 PR。未经我明确批准，不得合并任何 PR。报告每次运行的成本和召回指标，并与我们当前的扫描器 [当前扫描器名称] 进行比较。如果扫描失败或产生误报，请停止并提供日志以供分析。
来源报告未经独立核验。发布日期为本站案例发布日期，并非原始文章日期。