阿里Qoder上線全新安全能力，為每位用戶配備一位專屬安全工程師

7月21日，阿里Qoder上線全新安全能力Qoder Security，和傳統掃描工具靠規則匹配已知模式不同，該安全能力可在Qoder生成代碼時同步開展安全檢查，發現問題后自動修復，并在下一輪掃描中閉環，覆蓋「發現、修復、再次驗證」的全鏈路，相當于為每一位用戶配備一位專屬安全工程師，可滿足企業級場景對安全的需求。

 

 

根據數據統計顯示，全球超過40%的新代碼由AI輔助生成，這些AI生成的代碼出現漏洞的概率要高于人工代碼，但企業的安全審查能力并未同步提升。因此安全不能依賴人的自律與模型的自覺，必須內建于Agent的運行框架。

 

Qoder將“靜態掃描”升級為“主動式安全”方案，該方案集成了自研安全大模型，可理解代碼上下文與污點傳播路徑，對檢出的問題自我驗證可達性，只報告真實可達的風險。發現問題后由編程智能體直接完成修復，下一輪掃描閉環再次驗證。

 

第一層漏洞實時攔截

 

為平衡成本、延遲和漏洞檢出率問題，解決成本與延遲的問題，Qoder還設計了三層安全護航，避免每一行代碼都交給最強的大模型全量復核。在純文本的字符流級別任務中，代碼生成的同時就篩查已知高危模式，危險函數調用這類問題即時發現、自動修復，可實現零延遲、零額外算力開銷；在一輪任務完成后，系統會在合適的時機給出后續建議，例如通過掃描檢測代碼安全隱患，SQL注入、遠程命令執行、敏感信息泄露這類需要理解語義才能識別的風險，大多都會在這一層被發現。

 

提交代碼前，系統則會觸發最后一道防線，主動詢問是否需要掃描。Qoder Security可跨文件、跨函數追蹤完整數據流，從污點源到危險匯聚點，挖出單文件視角永遠看不到的隱藏關聯漏洞。

 

測試數據顯示，相比傳統方案，Qoder Security漏洞檢出率提升約60%，告警誤報率降低約80%，單個漏洞從發現到修復可達小時級。據介紹，Qoder團隊使用Qoder Security對一批生產級開源項目與AI基礎設施組件進行了測試，這些項目大多擁有活躍的社區和成熟的工程實踐，其中不乏被全球開發者廣泛使用的明星項目，最終Qoder Security自主發現了600多個安全問題。

 

 

目前，Qoder國際版與Qoder CN的Qoder Desktop、Qoder CLI均已支持該能力，用戶可一鍵開啟，無需安裝或配置任何額外插件。