馬薩諸塞州伯靈頓，10月27日 / PRNewswire / -- 面向 AI 時代的應用安全領導者 Black Duck ® 今日宣布推出 Signal Agentic Fix，這是 Black Duck Signal ™ 中最新的代理。 Signal 是一組 AI 代理，旨在盡量減少人為流程瓶頸，幫助團隊更快地保護軟件，以跟上在 AI 推動下漏洞和利用手段激增的速度。 Signal Agentic Fix 將 Black Duck 領先的確定性靜態分析（ SAST ）和軟件組成分析（ SCA ）引擎，與 AI 驅動的分流、修復生成和驗證結合起來，并在每一項變更合並之前都提交人工審核。
Black Duck 表示，Signal Agentic Fix 是針對 AI 在軟件開發中快速普及所加劇的兩種壓力。第一種是漏洞積壓不斷擴大，這一問題由 AI 生成的代碼激增、這類代碼更高的漏洞率，以及大量新的供應鏈 CVE 共同推動。第二種是利用時間大幅縮短：攻擊者使用 AI 在數小時內串聯並武器化漏洞，而人工主導的修復仍然以天甚至周來計算。
Black Duck 首席產品與技術官 Dipto Chakravarty 表示：「差異化不在於 AI 是否能夠寫出修復代碼，而在於你是否能夠信任它。將確定性靜態分析與軟體組成分析結合起來，再與 AI 驅動的分流、修復生成及驗證過程相結合，再加上人為定義的防護措施和審批門檻，才能讓代理式修復成為企業真正可以信任並部署的解決方案。」
閉環流程：掃描、分流、修復、驗證、提交
Signal Agentic Fix 自動化了端到端的修復流程，否則這一流程將受到團隊可用人力和專業知識的限制：
- 掃描：使用 Black Duck 的確定性 SAST 和 SCA 引擎，以規模化的方式識別專有代碼和開源依賴中的缺陷，兼顧可靠性和成本效益。
- 分流：利用 AI 來評估嚴重程度、可達性和可利用性，過濾誤報，並優先處理風險最高的问题。
- 修復：針對 SAST 發現的代碼問題進行修復；針對 SCA 發現的問題，則依據 Black Duck Security Advisories 提供的修復指導，並結合 ContextAI ™ 生成相應的依賴版本升級修復。
- 驗證：重新掃描已修復的代碼，並可選運行客戶定義的合規檢查和功能測試，以確認修復不會引入新的缺陷或漏洞。
- 提交：將每一項變更路由給人工審核和批准，既可以通過開發者的 AI 編碼代理完成，也可以作為團隊源代碼管理系統中的拉取請求提交。開發者始終完全掌控進入代碼庫的內容。
其結果是更高的修復吞吐量，以及從漏洞發現到交付經驗證修復之間的暴露窗口顯著縮短。
兩種部署方式：透過 AI 编碼代理，或在 DevOps 流水線中運行
Signal Agentic Fix for Coding Agents：可作為安全協作者，與開發者及其AI編碼代理（例如Claude Code）並行工作。它會對新代碼或現有代碼發起SAST和SCA掃描，對發現的問題進行分流和優先級排序，並將問題及修復指導反饋給編碼代理，由後者實施修復。隨後，Signal Agentic Fix會再次掃描以驗證結果。由於修復是由編碼代理代為執行，因此它受到團隊現有用於代碼生成的相同掛鉤和技能的約束，開發者在應用前需對每項變更進行批准或拒絕。
Signal Agentic Fix for DevOps Pipelines：可與現有的 SCM 和 CI 流程整合，在提交和構建等事件觸發時，或通過用戶界面按需觸發相同的修復循環。修復會使用已配置的 LLM 生成、驗證，並以 SCM 拉取請求的形式提交給團隊審核和批准後再合併。
內置護欄確保團隊保持控制權
使用 Signal Agentic Fix 的組織無需在機器速度的修復與受監管及安全關鍵行業所需的治理之間二選一：
- 可配置的修復規則定義了代理被允許或必須修復什麼，以及如何修復，可以在項目或組織層面進行設定。
- 可配置的驗證規則允許團隊提供編碼和合規標準、額外上下文，以及每個生成的修復都必須滿足的測試套件。
- 人工在環審批確保在任何開發者或團隊未明確簽字同意的情況下，不會有任何變更進入代碼庫。
基於經過驗證的 Black Duck 技術構建
與僅依賴於 AI 的解決方案不同，Signal Agentic Fix 將 Black Duck 的市場領先能力整合到一個專為快速、可靠且可驗證修復而設計的代理框架中：
- 與 Black Duck Polaris ®、Coverity ® 和 Black Duck SCA 所使用的相同確定性 SAST 和 SCA 引擎，提供企業規模所需的速度和經濟性。
- 今年早些時推出的 AI SAST Triage 和 AI SCA Reachability Analysis，可以根據嚴重程度和可利用性對發現的項目進行排序，並能識別任何編程語言中的可達開源漏洞。
- 同樣在今年早些時候推出的 AI Fix Pull Requests，可為 SAST 和 SCA 的問題生成並提交修復。
- ContextAI，擁有超過20年的人工驗證應用安全經驗，可提升基於LLM的分析與修復的準確性與可靠性。
可用性
面向 Claude Code 的 Signal Agentic Fix 今日起提供 Early Access，未來幾周內還將通過 Polaris、Coverity 和 Black Duck SCA 推出更多編碼代理和 DevOps 流水線集成。
更多訊息請訪問公司網站、閱讀其部落格文章，或報名參加即將在北美、EMEA 和 APAC 舉辦的網路研討會。
關於 Black Duck
Black Duck ® 是專為 AI 时代打造的安全應用解決方案。該公司的方法在設計上採用混合式策略：確定性分析能提供可驗證的結果，並作為治理的系統記錄；由 AI 驅動的推理過程會優先處理可被利用的風險，而代理式修復則以機器速度完成修復——這讓團隊的交付速度與 AI 编寫代碼的速度保持一致，同時不會承擔由此帶來的風險。Black Duck 已獲得全球數千家要求最嚴格行業組織的信任，包括航空航太、國防、汽車、半導體和醫療保健等領域，並擁有超過20年經人工驗證的漏洞情報。欲了解更多信息，请訪問 blackduck.com。
