马萨诸塞州伯灵顿，10月27日 /PRNewswire/ -- 面向AI时代的应用安全领导者 Black Duck® 今日宣布推出 Signal Agentic Fix，这是 Black Duck Signal™ 中最新的代理。Signal 是一组AI代理，旨在尽量减少人为流程瓶颈，帮助团队更快保护软件，以跟上AI驱动下漏洞和利用手段激增的速度。Signal Agentic Fix 将 Black Duck 领先的确定性静态分析（SAST）和软件组成分析（SCA）引擎，与AI驱动的分流、修复生成和验证结合起来，并在每一项变更合并前都提交人工审核。
Black Duck 表示，Signal Agentic Fix 针对的是AI在软件开发中快速普及所加剧的两种压力。第一种是漏洞积压不断扩大，这一问题由AI生成代码激增、这类代码更高的漏洞率，以及大量新的供应链CVE共同推动。第二种是利用时间大幅缩短：攻击者使用AI在数小时内串联并武器化漏洞，而人工主导的修复仍然以天甚至周来计算。
Black Duck 首席产品与技术官 Dipto Chakravarty 表示：“差异化不在于AI能不能写出修复，而在于你能否信任它。将确定性静态分析和软件组成分析，与AI驱动的分流、修复生成和验证结合起来，再加上人为定义的护栏和审批门槛，才使得代理式修复成为企业真正可以信任并部署的方案。”
闭环流程：扫描、分流、修复、验证、提交
Signal Agentic Fix 自动化了端到端的修复流程，否则这一流程会受到团队可用人手和专业知识的限制：
- 扫描：使用 Black Duck 的确定性 SAST 和 SCA 引擎，以规模化方式识别专有代码和开源依赖中的缺陷，兼顾可靠性和成本效益。
- 分流：利用AI评估严重程度、可达性和可利用性，过滤误报，并优先处理风险最高的问题。
- 修复：针对 SAST 发现生成代码修复；针对 SCA 发现，则依据 Black Duck Security Advisories 提供的修复指导，并结合 ContextAI™ 生成依赖升级修复。
- 验证：重新扫描已修复代码，并可选运行客户定义的合规检查和功能测试，以确认修复不会引入新的缺陷或漏洞。
- 提交：将每一项变更路由给人工审核和批准，既可以通过开发者的AI编码代理完成，也可以作为团队源代码管理系统中的拉取请求提交。开发者始终完全掌控进入代码库的内容。
其结果是更高的修复吞吐量，以及漏洞发现到交付经验证修复之间的暴露窗口显著缩短。
两种部署方式：通过AI编码代理，或在DevOps流水线中运行
Signal Agentic Fix for Coding Agents：可作为安全协作者，与开发者及其AI编码代理（例如 Claude Code）并行工作。它会对新代码或现有代码发起 SAST 和 SCA 扫描，对发现项进行分流和优先级排序，并将问题和修复指导反馈给编码代理，由后者实施修复。随后，Signal Agentic Fix 会再次扫描以验证结果。由于修复由编码代理代为执行，因此它受团队现有用于代码生成的相同钩子和技能约束，开发者在应用前对每项变更进行批准或拒绝。
Signal Agentic Fix for DevOps Pipelines：可与现有的 SCM 和 CI 工作流集成，在提交和构建等事件触发时，或通过用户界面按需触发同样的修复循环。修复会使用已配置的LLM生成、验证，并以 SCM 拉取请求的形式提交给团队审核和批准后再合并。
内置护栏确保团队保持控制权
使用 Signal Agentic Fix 的组织无需在机器速度的修复与受监管和安全关键行业所需的治理之间二选一：
- 可配置的修复规则定义代理被允许或必须修复什么，以及如何修复，可在项目或组织层面设置。
- 可配置的验证规则允许团队提供编码和合规标准、额外上下文以及每个生成修复都必须满足的测试套件。
- 人工在环审批确保没有任何变更在没有开发者或团队明确签字同意的情况下进入代码库。
基于经过验证的 Black Duck 技术构建
与仅依赖AI的解决方案不同，Signal Agentic Fix 将 Black Duck 的市场领先能力整合到一个专为快速、可靠且可验证修复而设计的代理框架中：
- 与 Black Duck Polaris®、Coverity® 和 Black Duck SCA 所使用的相同确定性 SAST 和 SCA 引擎，提供企业规模所需的速度和经济性。
- 今年早些时候推出的 AI SAST Triage 和 AI SCA Reachability Analysis，可按严重程度和可利用性对发现项排序，并识别任何编程语言中的可达开源漏洞。
- 同样在今年早些时候推出的 AI Fix Pull Requests，可为 SAST 和 SCA 问题生成并提交修复。
- ContextAI，拥有超过20年的经人工验证的应用安全上下文，可提升基于LLM的分析和修复的准确性与可靠性。
可用性
面向 Claude Code 的 Signal Agentic Fix 今日起提供 Early Access，未来几周内还将通过 Polaris、Coverity 和 Black Duck SCA 推出更多编码代理和 DevOps 流水线集成。
更多信息请访问公司网站、阅读其博客文章，或报名参加其即将在北美、EMEA 和 APAC 举办的网络研讨会。
关于 Black Duck
Black Duck® 是面向AI时代的应用安全解决方案。公司的方法从设计上就是混合式的：确定性分析提供可验证结果，并作为治理的系统记录；AI驱动的推理优先处理可被利用的风险，而代理式修复则以机器速度完成修复——让团队的交付速度与AI编写代码的速度保持一致，同时不继承随之而来的风险。Black Duck 受到全球众多要求最严苛行业中数千家组织的信赖，包括航空航天、国防、汽车、半导体和医疗保健，并拥有超过20年经人工验证的漏洞情报。更多信息请访问 blackduck.com。
