Checkmarx的新型SAST引擎并不只是关于LLM，而是关于之后发生的事情。
内容提要
Checkmarx推出了一款新型静态应用安全测试(SAST)引擎，结合了基于规则的扫描器、训练于安全数据的语言模型和发现分析引擎，以提高检测准确性。该引擎在测试中发现了327个传统模型漏掉的真实阳性，旨在简化用户体验，减少误报，提高代码安全性，帮助企业应对快速增长的代码量和安全挑战。
关键要点
-
Checkmarx推出了一款新型静态应用安全测试(SAST)引擎，结合了基于规则的扫描器、训练于安全数据的语言模型和发现分析引擎。
-
该引擎在测试中发现了327个传统模型漏掉的真实阳性，F1得分为0.499，远高于行业平均水平0.20。
-
Checkmarx的引擎通过三种引擎的协同工作，提供统一的保护，减少误报，提高代码安全性。
-
传统的查询型工具虽然可审计但支持新语言较慢，纯LLM工具则能快速处理语言但结果不确定，Checkmarx的方案结合了两者的优点。
-
Checkmarx的“Attackability”概念通过评估攻击路径，帮助安全团队聚焦于真正需要修复的漏洞，而不是仅仅关注漏洞数量。
-
Checkmarx SAST和发现分析引擎现已在Checkmarx One平台上提供，现有用户将自动升级。
延伸解读
新引擎的优势与挑战
Checkmarx的新型SAST引擎结合了传统规则扫描器和基于LLM的工具，旨在提高检测准确性。然而，尽管其F1得分显著高于行业平均水平，用户在实际应用中仍需关注引擎的配置和集成复杂性，以确保其能够有效应对快速增长的代码量和安全挑战。
误报问题的解决方案
Checkmarx的发现分析引擎（FAE）旨在减少误报，帮助开发团队专注于真正的安全漏洞。随着代码量的增加，误报的处理将对安全团队造成更大的负担，因此，FAE的有效性将直接影响团队的工作效率和安全性。
“Attackability”概念的应用
Checkmarx提出的“Attackability”概念通过评估攻击路径，帮助安全团队优先处理真正需要修复的漏洞。这一方法不仅提高了漏洞管理的效率，也为企业提供了更具说服力的安全报告，适合在高层次的决策中使用。
延伸问答
Checkmarx的新型SAST引擎有什么特点？
Checkmarx的新型SAST引擎结合了基于规则的扫描器、训练于安全数据的语言模型和发现分析引擎，以提高检测准确性。
Checkmarx的引擎在测试中表现如何？
该引擎在测试中发现了327个传统模型漏掉的真实阳性，F1得分为0.499，远高于行业平均水平0.20。
Checkmarx如何减少误报？
Checkmarx通过三种引擎的协同工作和发现分析引擎来分类真实和虚假阳性，从而减少误报。
Checkmarx的“Attackability”概念是什么？
“Attackability”是一个评估攻击路径的概念，帮助安全团队聚焦于真正需要修复的漏洞，而不是仅仅关注漏洞数量。
Checkmarx的新引擎如何应对快速增长的代码量？
新引擎通过提供统一的保护和快速支持新语言，帮助企业应对快速增长的代码量和安全挑战。
Checkmarx SAST引擎的可用性如何？
Checkmarx SAST和发现分析引擎现已在Checkmarx One平台上提供，现有用户将自动升级。
