阿里Qoder上线全新安全能力，为每位用户配备一位专属安全工程师
内容提要
阿里Qoder推出新安全能力Qoder Security，在代码生成时同步扫描并自动修复漏洞，覆盖发现、修复、再验证全流程。相比传统方案，漏洞检出率提升约60%，误报率降低80%，已支持国际版和国内版，无需额外配置。
延伸解读
主动式安全与静态扫描的本质区别
传统静态扫描依赖规则匹配已知模式，而Qoder Security将安全能力内建于代码生成流程，通过自研安全大模型理解代码上下文与污点传播路径，对检出问题自我验证可达性，只报告真实风险。这种从“被动扫描”到“主动防护”的转变，意味着安全不再依赖事后检查，而是与开发过程同步，更适应AI生成代码的快速迭代节奏。
三层安全护航的设计考量
为平衡成本、延迟与检出率，Qoder Security设计了三级防护：字符流级别实时拦截高危模式，零延迟零额外算力；任务完成后语义级扫描发现SQL注入等复杂风险；提交前跨文件追踪数据流，挖掘隐藏关联漏洞。这种分层策略避免了所有代码都交给最强模型复核的高昂成本，体现了工程上的务实取舍。
企业采用时需关注的指标与场景
文章数据显示，相比传统方案，Qoder Security漏洞检出率提升约60%，误报率降低80%，单个漏洞修复可达小时级。但需注意，这些数据来自阿里Qoder团队对生产级开源项目的测试，实际效果可能因代码库和场景而异。企业应结合自身开发流程评估其适用性，并关注其是否满足合规与审计要求。
Q&A
阿里Qoder新上线的安全能力叫什么？它主要解决什么问题？
阿里Qoder新上线的安全能力叫Qoder Security，它主要解决AI生成代码中存在的安全漏洞问题，通过主动式安全方案在代码生成时同步扫描并自动修复漏洞，覆盖发现、修复、再验证全流程。
Qoder Security相比传统安全扫描工具有哪些优势？
Qoder Security相比传统扫描工具，漏洞检出率提升约60%，误报率降低80%，并且能自动修复漏洞，实现从发现到修复的小时级闭环，而传统工具主要靠规则匹配已知模式，无法理解代码上下文。
Qoder Security的三层安全护航机制具体是怎样的？
Qoder Security的三层安全护航机制包括：第一层在代码生成时实时筛查已知高危模式，实现零延迟零额外算力；第二层在一轮任务完成后扫描检测需要理解语义的风险，如SQL注入、远程命令执行等；第三层在提交代码前主动询问是否扫描，跨文件追踪数据流，发现隐藏关联漏洞。
Qoder Security如何实现漏洞的自动修复？
Qoder Security发现问题后，由编程智能体直接完成修复，并在下一轮扫描中闭环验证，确保漏洞被真正修复。
Qoder Security在哪些产品版本上可以使用？需要额外配置吗？
Qoder国际版和Qoder CN的Qoder Desktop、Qoder CLI均已支持该能力，用户可一键开启，无需安装或配置任何额外插件。
Qoder团队使用Qoder Security测试了哪些项目？结果如何？
Qoder团队使用Qoder Security对一批生产级开源项目与AI基础设施组件进行了测试，这些项目大多拥有活跃社区和成熟工程实践，最终自主发现了600多个安全问题。
