入选 2026 年 Gartner® 应用安全技术成熟度曲线（Hype Cycle™）

我们的 SCW AI 信任指数测试了 16 个主流 AI 模型，涵盖 1,760 个代码库，结果显示每个代码库平均存在 15 个已确认的漏洞。无论代码由哪个模型编写，漏洞类型（如记录敏感数据、注入、硬编码凭据）始终如一。Gartner 预测 2027 年才会出现的风险，如今已在生产环境中显现。而 Secure Code Warrior 可以对其进行量化评估。

代理编码的产出速度已超过大多数应用安全团队的审查能力。弥合这一差距需要两点：控制 AI 代理在代码库中的操作权限，以及培养能够识别并修复 AI 错误的开发人员。这正是 SCW 入选 Gartner 报告的两个类别：代理编码安全与安全编码培训。
‍

为何这对 CISO 和应用安全负责人至关重要

您可以批准使用 AI 编码工具，也可以证明它们在生产环境中的产出。大多数项目无法两者兼顾。

代理编码助手、AI 代码安全助手和 MCP 连接代理已经在编写和审查生产代码。当出现问题时，许多安全负责人往往关注错了重点。如果问题的焦点在于“当初是否应该允许使用 AI 工具”，而不是“能否证明是哪个工具触及了受影响的代码、它在提交时是否符合安全编码标准、以及批准该代码的开发人员是否具备相应资质”，那么这种方法从一开始就是错误的。这正是董事会、监管机构或保险公司会追问的缺口，也是 Gartner 在提及“代理编码安全”时所描述的痛点。

可达性分析和安全态势工具只能帮助您分类已有的故障，却无法阻止 AI 引入新的问题。

ASPM、可达性分析和 AI 代码安全助手之所以入选同一报告，是因为它们在消除漏洞噪音方面确实有效，但它们是在代码生成后的下游环节发挥作用。而治理代理的操作权限并提升开发人员识别错误输出的能力，则是从源头进行把控。

每一次循环都会产生 Token 成本，且都无法解决根本问题。

生成代码需要消耗 Token，扫描漏洞需要更多，提示代理修复扫描出的问题则消耗更多。为了修补一个本可以通过受过培训的开发人员或正确引导的代理从源头避免的缺陷，您付出了三次 Token 成本。解决根本问题——即提交背后的技能与判断力（无论是人工还是 AI 辅助）——才能让您避免为同一个错误反复买单。

“安全编码培训”之所以能单独列出，是因为技能水平未能跟上工具的发展速度。

报告的调查数据显示，68% 的软件工程负责人认为应用安全至关重要，但安全编码技能在通用软件工程教育中依然缺失，且 AI 生成代码的交付速度已超过大多数团队的审查能力。培训是能够与代理技术应用同步扩展的控制手段，而非滞后于它。

这就是为什么 SCW 将 AI 软件治理与安全编码培训整合为一个平台。

十一年的安全编码数据让我们深刻理解了“具备审查 AI 生成代码资质”的真正含义。AI 驱动软件开发的治理层——即可见性、策略和可追溯性——正是建立在这些技能数据之上，因此您对开发人员能力的观察，将直接决定您的治理重点及他们后续的培训方向。
‍

SCW 入选两个类别

‍

SCW 如何解答这四个问题

‍

准备好治理 AI 驱动的开发了吗？

了解 Secure Code Warrior 如何为您的工程团队提供可见性、护栏和能力，从而在转型的每个阶段安全地采用 AI 开发。
‍
联系我们 → securecodewarrior.com

‍_{Gartner，《应用安全技术成熟度曲线》，Dionisio Zumerle，2026 年 7 月。Gartner 不对其研究出版物中描述的任何供应商、产品或服务进行背书，也不建议技术用户仅选择评级最高或获得其他称号的供应商。Gartner 研究出版物包含 Gartner 研究与咨询机构的意见，不应被视为事实陈述。Gartner 对本研究不承担任何明示或暗示的保证，包括任何适销性或特定用途适用性的保证。GARTNER 是 Gartner, Inc. 和/或其附属公司在美国及国际上的注册商标和服务标志。}‍