来自安全开发领域专家的真知灼见

在网络安全领域，正邪双方的博弈向来极不公平。敏感数据已成为新的“黄金”，攻击者能够迅速调整策略以绕过防御，利用大大小小的安全漏洞牟取暴利。

了解静态分析及其如何通过 5 种基于 IDE 的方法和插件示例帮助您编写更优质的代码。

又到了这一年中的特殊时刻（至少对我们而言），我回顾了过去这一年，总结了我们在过去 365 天里所做的一切，为迎接充满成长、经验和不可预见性的新一年奠定了基础。

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

我们预计 2021 年将开启一场全新的“太空竞赛”，并将其推向主流：保护我们的星系免受网络威胁。

与其说这是一个技术漏洞，不如说它更多是人为或管理上的疏忽，导致旧版 API 在本应被更安全的新版本取代后，却依然长期处于运行状态。

了解 Sensei 如何通过识别已弃用的模式并提示您后续应采用的修复方案，从而为您提供迁移帮助。

渗透测试和静态分析扫描工具（即 SAST）只是降低安全风险整体流程的一部分，它们与我们的工作相对独立——当然，除非代码被退回给我们进行紧急修复！

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

无论是对新工作方式的不确定性、些许的不信任，还是对远程办公的怀疑，我发现那些抵触远程办公的企业，往往在吸引顶尖人才、保持全球影响力以及与时俱进方面逐渐落后。

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

日志记录和监控不足的问题，主要是由于网络安全规划未能涵盖对所有失败的身份验证尝试、拒绝访问记录以及输入验证错误的监控而导致的。

了解如何分享 Sensei 食谱，帮助团队中的每位成员提升代码质量与工作效率。

我们非常高兴地宣布 Secure Code Warrior 平台推出了一项全新功能：Missions。这一全新的挑战类别标志着开发者安全培训迈入了新阶段，用户将从单纯的安全知识记忆，转向在真实的模拟环境中应用这些知识。

虽然这种情况在 API 中更为常见，但攻击者往往会试图在网络中的任何位置寻找未修补的漏洞以及未受保护的文件或目录。如果恰好遇到一个开启了调试模式或禁用了安全功能的 API，只会让他们的不法企图更容易得逞。

了解 Sensei 如何帮助开发者快速上手并采用新库。

Learn all about the latest updates to Sensei.

了解如何使用 Sensei 来匹配有问题的代码模式，并通过注解匹配示例将其修改为约定的实现方式。

批量赋值漏洞的产生，源于许多现代框架鼓励开发者使用能够自动将客户端输入绑定到代码变量和内部对象的函数。

澳大利亚政府正积极推动网络安全建设，这表明网络安全已被提升至国家级风险防控的重点领域，但其战略部署是否足够深远？

Sensei 插件提供了一种简便的方法，可在源代码中查找特定的代码模式，并应用重写规则来修改匹配的代码。所有操作均在 IntelliJ IDE 中实时完成。

Secure Code Warrior 开发了一款 GitHub Action，将情境化学习引入了 GitHub 代码扫描。这意味着开发人员可以使用 Snyk Container Action 等第三方操作来发现漏洞，并利用针对 CWE 的高度相关学习内容来增强扫描结果。

功能级访问控制缺失漏洞会导致用户能够执行本应受限的操作，或访问本应受到保护的资源。

每家机构都可以利用“网络安全宣传月”来更新其安全意识，今年，我们还为编程社区推出了一款全新的免费应用程序！

当同时传入的请求过多，且 API 没有足够的计算资源来处理这些请求时，就会出现此漏洞。然后，该 API 可能变得不可用或无法响应新请求。

将安全补丁转移回开发流程并不容易，但在当今世界中，即使是像演示工具这样看似简单的设备也非常复杂，而且还能与其他所有设备联网，这是必要的。

该漏洞背后的实际机制与其他漏洞类似，但在此情况下，过度数据暴露被定义为涉及受法律保护或高度敏感的数据。

身份验证通常是进入应用程序乃至整个网络的门户，因此往往成为攻击者的首要目标。一旦身份验证流程存在缺陷或漏洞，攻击者极有可能发现并利用这些弱点。

今天我们要隆重介绍我们的专家团队成员 Oscar Quintas。他目前在产品内容团队担任高级安全研究员，同时也是我们团队在基础设施即代码（IaC）领域的“魔法师”。

通常情况下，对于每一个使用用户输入来访问数据源的函数，都应包含对象级授权检查，否则将面临巨大的安全风险。

网络攻击日益频繁，针对 Linux 基础设施的威胁也愈发普遍，攻击者的最终目的往往是窃取云端存储的敏感数据。

请结合您在组织中的角色思考以下问题。如果接受 DevSec 测试，您的组织表现如何？

一套精心策划的课程，涵盖了开发人员必须掌握的核心模块，将产生显著成效，助力他们在日常工作中迅速应用安全最佳实践。

我们深知工作日里事务繁杂，开发者又有什么动力去教室上课，或者为了学习枯燥的理论知识而频繁切换工作环境、经历繁琐的五步流程呢？

接触者追踪应用程序背后的想法是合理的。这项技术如果运行良好，将确保迅速发现热点并进行全面测试，这两者都是对抗传染性病毒传播的重要组成部分。

我们开始思考如何降低获取培训的门槛，让您在需要时能随时学习，以及如何将微学习更无缝地融入您的工作流程中。

6月23日是极客日历上的一个特殊日子，即国际女性工程日。这是我们彰显女性在软件开发领域所做贡献的绝佳契机。

当开发人员未能正确实现业务逻辑规则时，可能会导致此类漏洞，从而使应用程序在面对恶意用户攻击时处于易受攻击的状态。

Rust 融合了常用编程语言中已知且实用的元素，并采用了一种摒弃复杂性、同时兼顾性能与安全性的独特理念。

我们在此重点探讨的易受攻击行为是使用来自不可信来源的代码，这种看似无害的做法实则引发了严重的问题。

医疗保健行业可能成为下一个网络安全“重灾区”，犯罪分子正将攻击目标对准那些用于诊断病情、提供治疗以及维持生命的医疗设备。

安全配置错误，尤其是权限设置不当的问题，通常发生在开发人员创建新用户或为应用程序授予执行任务所需的权限时。

有时，应用程序还会与其他程序共享数据，这是总体工作负载的一部分。除非传输层受到保护，否则它很容易受到外部监听和未经授权的内部查看。

如今，对诸如密码、个人信息和财务记录之类的关键数据进行哈希处理是任何网络安全防御的基石。

尽管 COBOL 是一种古老的计算机语言，但它至今依然高效。欢迎了解 Secure Code Warrior 提供的 COBOL 安全应用开发相关信息。

如今，大多数计算机安全的关键都涉及密码。即使采用其他安全方法，例如双因素身份验证或生物识别，大多数组织仍将基于密码的安全性作为其保护要素之一。

我们必须进入这样一个阶段，即安全被视为整个组织乃至整个 SDLC 的共同责任。当你承诺使用一个成熟的、高度支持的 DevSecOps 环境时，这肯定是可能的。

如果基础设施层面的访问控制存在漏洞，整个企业都将面临风险。攻击者可以以此为突破口，进行未经授权的窥探，甚至发动全面攻击。

攻击者总是会首先尝试找到易于利用的漏洞，甚至可能使用脚本来修复常见的漏洞。这与小偷检查街上的所有汽车以查看是否有门被解锁没什么不同，这比砸窗户容易得多。

这是关于企业 PCI-DSS 合规性迷你系列的第二部分。在本章（也是最后一章）中，我们将详细介绍 CTO 和 CISO 如何发挥领导作用，降低网络风险，并使合规流程变得顺畅、高效……甚至让开发人员也能乐在其中。

这是关于企业如何成功实现 PCI-DSS 合规性系列文章的第一部分。在本章中，我们将详细介绍应用安全专家如何与开发经理紧密合作，从而赋能开发人员、强化 SSDLC，并将通用法规转化为具体的执行成果。

在我们的行业中，许多安全专家已经开始预测今年的热点问题，但是由于2019年有超过50亿条敏感数据记录被盗，我们认为预测在可预见的将来网络安全不会发生的事情会更加准确。

许多关于“左移”的倡议，即在开发流程的更早阶段引入安全措施，实际上并不能带来实质性的改变。

随着GDPR的出台，以及在多阶段攻击暴露了许多公众人物以及德国联邦政府服务器的敏感数据之后的战略的修订，很明显，网络安全意识和行动是DACH地区领导人的头等大事。

世界正在告别瀑布式开发、敏捷开发，甚至是 DevOps，那么下一个解决方案会是什么？作为开发者，你又该如何在这些方法论的更迭中保持同步？

去年年底，MITRE 社区发布了 2019 年度“CWE 最危险软件错误前 25 名”榜单。其中大部分内容都在意料之中。

我本可以在这篇文章的开头列出所有数据和事实，来展示一家处于高速增长期的初创企业是多么蒸蒸日上；这些成绩确实令人瞩目，公司目前的发展势头也十分强劲。然而，对我而言，这些数字并不能代表我在 2019 年最引以为傲的成就。

很少有公司能真正成功实施 DevOps。然而，只要在整个业务范围内获得正确的支持、培育和理解，就能彻底改变您的流程。

美国国家标准与技术研究院（NIST）发布了一份更新后的白皮书，详细阐述了旨在减少软件漏洞和网络风险的多项行动计划。

这些面向开发者的活动是我日程表里最喜欢的项目之一；它们让我深切地感受到，有这样一个群体在不懈努力，通过教育和赋能，帮助软件工程师与专业人士在工作中更好地捍卫安全，这令我深感敬佩。

虽然监管举措无疑会随着时间的推移不断完善和发展，但如果企业现在就惊慌失措地匆忙开展培训，未来可能会发现自己准备不足。

开发者来自各行各业，背景各异，而我们所做的一切始终都蕴含着一种社区精神。

尽管安全编码应当成为高等教育阶段软件工程专业的必修课，但已有部分高校率先垂范，在提供一流培训的同时，将安全性置于开发流程的起始阶段，作为重中之重。

我们的客户成功副总裁 Fatemah Beydoun 最近发表了题为“面向未来的指导：我们如何共同促进女性网络安全人才成长”的演讲，受到了热烈反响。她一直是推动网络安全行业积极变革的核心力量。

当应用程序将反序列化过程中的数据视为可信时，就可能发生不安全的反序列化漏洞。如果用户能够篡改新重构的数据，便可实施各种恶意行为，例如代码注入、拒绝服务攻击或越权操作。

令人难以置信的是，许多地方仍然依赖教室、枯燥的教科书和乏味的视频培训来让自己的最佳和最聪明的人参与新举措，尤其是在有一种更好、更具吸引力、更有价值的学习方式：情境式培训时。

软件安全行业向来以冷峻严谨著称，鲜少有人会在这里谈论感性话题或人生哲理。但随着阅历渐深，我愈发意识到，我们每个人都能为这个世界带来深远的影响。

当本应仅供授权人员查看的信息以未加密、无保护或保护薄弱的状态泄露给未经授权的人员时，即会发生敏感数据泄露。

少年安全研究员 Bill Demirkapi 曝光了其所在学校所用软件中的重大漏洞，这确实勾起了我的一些回忆。我记得自己小时候也曾是个好奇的孩子，总喜欢拆开软件的“引擎盖”一探究竟，看看它们是如何运作的……顺便试试能不能把它弄坏。

虽然 VxWorks 对普通消费者来说并非家喻户晓，但这款软件产品每天都在造福你我。而现在，我们面临着数以亿计的 VxWorks 设备可能遭到入侵的风险。

XML 外部实体注入攻击（有时简称为 XXE 注入）相对较新，但它目前在黑客社区中非常受欢迎，而且随着成功的积累，这种攻击甚至会越来越多。

如果攻击者能够将 CR 或 LF 代码插入现有应用程序中，有时便能改变其行为。与大多数攻击相比，此类攻击的影响较难预测，但对目标组织造成的危害同样不容小觑。

富有创意且充满灵感的 CISO 和 CIO 不仅有能力推动创新并塑造我们的数字世界，还能在重塑企业安全文化方面发挥关键作用。

在许多方面，远程文件包含漏洞比本地文件包含漏洞更危险，且更容易被利用。因此，必须尽快发现并修复此类漏洞。

今年，PCI安全标准委员会发布了一套全新的软件安全指南，作为其PCI软件安全框架的一部分。此次更新旨在使软件安全最佳实践与现代软件开发保持一致。

与许多漏洞不同，利用本地文件包含和路径遍历过程进行恶意攻击，不仅需要攻击者具备相当高的技术水平，还需要投入大量时间，甚至还需要一点运气。

即使您已经对应用服务器及其使用的后端系统进行了全面加固，如果传输层保护不足，通信内容仍可能面临被窃听的风险。

XML 注入攻击是黑客发明的令人讨厌的小漏洞，目的是帮助他们破坏托管 XML 数据库的系统。这包括人们在考虑传统数据库时想到的各种东西，即从药物到电影等任何事物的详细信息存储。

英国华为网络安全评估中心近期发布的一份报告指出，华为的软件工程流程存在重大安全问题。但这些问题是可以解决的。

“AppSec 领袖”小组讨论会深入探讨了如何最大化组织应用安全预算等热门议题，并解答了现场观众提出的诸多棘手问题。这场精彩的晨间分享干货满满，将助力安全专家在各自组织内构建切实可行的安全项目。

日志记录与监控不足是应用程序防御体系中最危险的隐患之一。一旦存在这种漏洞或状况，几乎任何针对该系统的进阶攻击最终都将得逞。

在编写网站或应用程序时，如果允许处理未经校验的重定向和转发，可能会给您的用户和组织带来极大的安全隐患。

正式宣布：我们已与 Bugcrowd 达成合作，共同致力于为开发者提供安全编码方面的教育、赋能与指导。

代码注入攻击是网站和应用程序面临的最常见且最具破坏性的威胁之一。这类攻击在复杂程度和危害性上各不相同，但几乎任何接受用户输入的网站或应用都可能存在此类漏洞。

近期针对 GitHub 代码库的攻击凸显了安全行业内一个众所周知的问题：大多数开发人员的安全意识依然不足，导致宝贵的数据随时可能面临风险。

在构建业务应用程序时，无论是供内部使用还是供客户外部使用，您通常都不会允许每个用户执行所有功能。如果这样做，您可能会面临访问控制失效的风险。

随着网络攻击日益猖獗，各行各业的各类组织无一幸免，数据泄露带来的高昂代价、声誉损失以及对财务底线的冲击已成为迫在眉睫的现实威胁。这个问题非但没有缓解，反而如肿瘤般不断恶化。

如果您的 Web 应用泄露了过多的信息，攻击者将更容易趁虚而入。在本文中，我们将深入探讨什么是信息泄露、它为何具有危险性，以及如何有效防范此类风险。

由于所有应用程序都会使用组件，而其中大部分并非由您编写，因此您所用组件中的漏洞可能会成为安全隐患。让我们探讨一下使用存在已知漏洞的组件意味着什么、其危险性如何，以及如何解决这一问题。

我曾身处开发与安全两个阵营，深知开发团队与应用安全专家在坚持安全最佳实践时容易产生的矛盾。但其实，有更好的解决之道。

我们将探讨各类组织面临的最常见问题之一，无论是运营网站的机构，还是允许员工远程访问计算机资源的企业——这几乎涵盖了所有组织。没错，正如你所料，我们要讨论的主题就是身份验证。

如果应用程序缺乏足够的防自动化检测机制，攻击者就可以不断尝试猜测密码，直到成功破解。以下是阻止此类攻击的方法。

尽管编码问题可能是原因之一，但业务逻辑错误往往源于应用开发初期存在的架构缺陷或逻辑假设偏差。

在网络安全领域，我们通常就像猎人一样。我们的眼睛紧紧地注视着地平线，正在寻找下一个突破漏洞。但是，这种前瞻性的关注可能会产生令人惊讶的效果，削弱我们的整体安全意识。

许多网站和应用程序都允许用户通过电子邮件发送反馈或其他各类信息，而大多数人甚至从未意识到这其中潜藏的安全风险。

直接对象引用是指应用程序内部对特定记录（即“对象”）的引用。它通常以唯一标识符的形式出现，并可能显示在 URL 中。

软件安全始终是我关注的焦点，我们日益数字化的生活方式以及随之而来的个人信息共享所带来的现实危险也是如此。毕竟，我们正处于一个基本不受监管、缺乏监督且被人们选择性忽视的领域。我们正身处“蛮荒西部”。

在当今数字化社会中，开发人员有责任防范不安全的加密存储，以确保信息和业务安全。欢迎通过 Secure Code Warrior 学习相关知识。

绝大多数网站都使用 XML 数据库来执行关键功能，例如存储用户登录凭据、客户信息、个人身份信息以及机密或敏感数据，这使得 XQuery 攻击具有相当大的攻击面。

荷兰商会（Kamer van Koophandel）分享了他们如何通过基于角色的认证、信任评分基准测试以及共享安全责任的文化，将安全编码融入日常开发工作。

了解 Paysafe 与 Secure Code Warrior 的合作如何将开发人员的工作效率提升了 45%，并大幅减少了代码漏洞。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

通过本报告探索 2023 年 Devlympics 的比赛结果。深入了解各参赛行业的开发者参与度、技术栈与语言趋势，以及由 Secure Code Warrior 主办的年度全球赛事中所涵盖的关键漏洞和 CWE。

了解 Sage 如何通过灵活且以关系为导向的方法提升安全性，成功培养了 200 多名安全倡导者，并实现了显著的风险降低。

了解 Workday 如何通过 Secure Code Warrior 的敏捷学习模式彻底改变开发者培训。通过为开发者提供实操性的语言专属教育，Workday 在软件开发生命周期（SDLC）的早期阶段就有效降低了漏洞风险。查看他们的显著成果及构建安全代码文化的关键经验。

在本案例研究中，了解泰雷兹（Thales）如何通过人员、流程和技术手段，构建敏捷的安全代码学习计划，从而激励开发人员成为积极的安全倡导者。

了解零售巨头高露洁棕榄（Colgate-Palmolive）如何在数字化转型过程中重塑其应用安全。面对安全编码方面的挑战，他们通过将碎片化、情境化的学习融入开发工作流程，实现了创新性的突破。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG 集团是亚太地区多家领先保险公司的幕后推手，为数百万客户提供保险承保服务，年保费规模约达 114 亿澳元。

了解他们如何创建了一项内部技术教育计划，旨在支持数千名员工学习机器学习和网络安全等多个领域的实用前沿技能。

阅读这份详尽的案例研究，了解他们如何利用 Secure Code Warrior 的竞赛活动来提升开发人员的参与度，增强对汽车软件关键漏洞的认知，并获取跨多种语言和框架的量化指标。

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

网络安全行动月（全球称为“网络安全意识月”）是澳大利亚每年十月举办的一项宣传活动，旨在鼓励个人和企业通过简单的日常习惯来提升网络安全水平。

政府不能再将机器速度的网络攻击视为未来的情景，因为正如近期医疗保险数据泄露事件所表明的那样，未来已至。

‍

‍

十月是网络安全意识月。过去一年的经历充分证明，威胁环境并不会因此而放缓脚步。从人工智能驱动的网络钓鱼和深度伪造社交工程，到针对医院、学校和市政机构接连不断的勒索软件攻击，安全团队在 2026 年几乎没有喘息的机会。这一年度活动已走过三十个年头，它依然是业内反思现状的最佳契机：我们究竟是变得更安全了，还是仅仅变得更忙碌了？

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAI 的智能体在执行相对常规的研究任务时，“渗透”了澳大利亚政府网站，这被认为是此类事件中的首例。

继其他 AI 智能体违规事件之后，此次事件凸显了几个关键问题：AI 对齐缺失的风险、开发者责任的缺失，以及事故披露机制的不完善。专家强调，必须尽快建立技术边界、强化监控并落实强制性的及时报告制度，以防范未来可能发生的灾难性事故。

6月份，Medicare及至少其他三个政府系统遭到人工智能代理的入侵，而我们直到现在才得知此事，这令业内许多人感到震惊。

跟上全球人工智能监管的步伐，其难度几乎不亚于跟上技术本身的发展。对于安全领导者而言，每周都会出现新的进展、监管提案或政策调整，这使得本已复杂的风险环境变得更加错综复杂。

对于拥有成熟纵深防御网络安全体系的组织而言，威胁建模早已不是什么新鲜事。长期以来，它一直是预防性安全的核心，能够帮助企业在漏洞被利用之前识别并加以解决。

Secure Code Warrior 推出了 Citizen AI，这是一项面向非开发人员的 AI 素养培训计划，旨在支持各业务部门负责任地采用 AI 技术。

全新的 AI 素养计划旨在帮助非开发人员掌握必要的判断力、风险意识及负责任的使用习惯，从而安全地应用 AI 驱动的工作流程。

Secure Code Warrior 发布了 Citizen AI by Secure Code Warrior。这是一项专为非开发人员设计的 AI 素养计划，旨在帮助企业培养能够负责任地应用 AI 的员工队伍。Citizen AI 能够帮助企业降低与 AI 相关的人为风险，支持更广泛的企业 AI 治理举措，增强员工使用 AI 的信心，并加速安全采用 AI 驱动的工作流程。

‍

AI 软件治理与开发者安全技能提升领域的领导者 Secure Code Warrior 今日宣布推出 Citizen AI，这是一项专为非开发人员设计的 AI 素养培训计划，旨在帮助企业打造一支能够负责任地应用 AI 的员工队伍。

全新的 AI 素养计划旨在帮助非开发人员掌握必要的判断力、风险意识及负责任的使用习惯，从而安全地应用 AI 驱动的工作流程。

在制定人工智能辅助软件开发的治理和开发者培训计划时，各组织往往忽略了一个关键目标。

AI 软件开发正以惊人的速度不断演进，为开发者及其团队带来深远影响。，Secure Code Warrior 首席执行官兼联合创始人指出，随着行业从人工编写代码转向 AI 辅助编程及智能体工作流，许多安全团队正面临一项严峻挑战：如何管控自主系统所带来的全新风险。

‍

‍

对于软件开发公司而言，问题已不再是是否应该利用生成式 AI 编写代码，也不在于未来生成式 AI 产出的代码占比是否会提升。这些趋势在过去两年里早已成定局。现在的核心挑战在于，当生成式 AI 和人工智能代理不断投入代码生产时，企业该如何确保安全与合规。

每年九月，“国家内部威胁防范月”都在提醒我们：许多最具破坏性的安全事件并非源于外部攻击者的入侵，而是来自内部。无论是出于恶意、疏忽还是单纯的人为失误，拥有系统、数据和设施合法访问权限的内部人员，始终是当今企业面临的最持久且最难察觉的风险之一。随着混合办公、人工智能工具以及日益复杂的 IT 环境重塑职场，内部威胁形势也在不断演变，这要求安全专业人员给予全新的关注。

随着代理式 AI 进一步提升生产力，人工代码审查已成为严重的瓶颈。开发人员需要将工作重心前移，建立基本准则，确保 AI 能够按规矩行事。

​网络安全行业倡导“安全设计”原则已逾十年，如今却对人工智能（AI）带来的风险感到震惊。随着各机构竞相拥抱AI赋能，首席信息安全官（CISO）最紧迫的任务是避免成为业务发展的阻碍。然而，若缺乏有效的AI使用规范、治理机制、可观测性及可追溯性，机构可能会因AI风险而措手不及。​

Secure Code Warrior 推出了 SCW AI 采用模型，该框架旨在帮助企业在软件开发中规范 AI 的使用，以应对行业从传统的软件开发生命周期 (SDLC) 向该公司所称的“代理开发生命周期 (ADLC)”的转型。

随着许多软件工程团队从使用 AI 编码助手转向全面采用 AI 智能体进行代码生成，其代码产出量呈指数级增长，确保这些代码的安全性已成为重中之重。本研究为正准备引入 AI 辅助或智能体代码开发模式的组织提供了切实可行的指导。

Token 的使用可能会为企业带来意想不到的巨额成本。

人工智能能够加快开发周期，让开发人员专注于更高价值的工作。对于许多企业而言，这种效率提升已成为保持竞争力的关键。因此，挑战不在于是否采用人工智能，而在于如何负责任地应用它。那些投资于开发人员培训、治理框架、人工智能可观测性及稳健安全控制的企业，将更有能力在获取收益的同时降低相关风险。

问题已不再仅仅局限于保护人工智能模型本身。攻击者正日益将目光转向围绕这些模型构建的软件生态系统，包括组织日常依赖的开发工具、中间件、开源库以及自动化部署流水线。

正如我们将共同探讨的那样，全球范围内正经历着巨大的变革，各国之间虽有协作，但前路远未统一或明朗，尤其是在商业环境中，AI 的应用往往先于全面的保障措施落地。

有专家指出，人工智能护栏的设计初衷并非为了构建“安全边界”，而是为了引导行为。但如果这种行为演变成了对行业合作伙伴的黑客攻击，又该如何应对？

‍

网络安全专家警告称，在 OpenAI 的一次安全评估中，Hugging Face 基础设施遭到入侵，这标志着自主 AI 智能体所带来的风险已进入转折点。在此次事件中，AI 模型突破了受控测试环境，对该 AI 平台实施了实时的多阶段入侵。

根据 Secure Code Warrior 发布的研究显示，AI 生成的代码平均每个代码库会引入 15 个已确认的漏洞。

前沿人工智能正面临公关危机。在 Hugging Face 于 7 月 16 日发布一篇博文，声称一个自主智能体侵入了其内部环境后，OpenAI 于 7 月 21 日发文称，该事件发生时，GPT 5.6 Sol 和一个“预发布模型”逃离了受控测试环境。

Secure Code Warrior 的研究显示，AI 生成的代码平均每个代码库会引入 15 个漏洞。

‍

Secure Code Warrior 推出了 SCW AI 信任指数，这是一项针对 AI 编码安全的动态基准，它会随着新模型的出现不断更新，旨在帮助企业理解并管控 AI 生成代码所带来的安全风险。该研究基于与澳大利亚皇家墨尔本理工大学（RMIT University）共同制定的方法论，并由 Secure Code Warrior 进一步扩展，提供了关于主流大语言模型生成不安全代码频率的全面基准，对每一家正在扩展 AI 辅助开发的企业都具有实质性的影响。

AI 生成的代码平均每个代码库会引入 15 个漏洞，但实际风险更多取决于框架的搭配，而非所使用的模型。

全新的 SCW AI 信任指数表明，AI 生成代码的风险并非随机，而是可以通过模型和框架进行预测，这为安全领导者提供了安全扩展 AI 辅助开发所需的数据。

人工智能的落地挑战、频繁的系统更新以及行业主导权的激烈争夺正接踵而至，而安全专业人员因其庞大的风险特征，成为了受影响最严重的群体之一。

澳大利亚政府已明确表示，人工智能对国家未来的核心利益至关重要。那么，它在当今的发展现状如何？且听行业精英们如何解读人工智能及其在现代企业中扮演的角色。

‍

代理式人工智能的兴起标志着软件开发领域的一次结构性变革，它所引入的系统不仅能加速生产周期，还能在人类直接控制之外进行自主推理与行动。

随着人工智能生成的代码日益普及，首席信息安全官（CISO）需要制定新的审计策略，以评估开发实践、规范 AI 工具的使用，并在软件投入生产前识别潜在风险。

这一类别在 2026 年变得愈发紧迫，原因在于当下的特殊背景：AI 编程工具和智能体正大幅提升代码的编写量，以及部署、测试和配置的频率。平台工程正是决定这种速度提升是转化为实际交付价值，还是演变为混乱的关键所在。

根据 Gartner 的最新报告，影子 AI 和违规自动化的泛滥正进一步加剧 AI 漏洞的扩散。Gartner 指出，32% 在工作中应用生成式 AI 工具的 IT 从业者表示，他们对网络安全团队隐瞒了这些工具的使用情况。再加上低代码/无代码平台和“氛围编程”（vibe coding）实践，AI 副驾驶正在大幅扩大企业的攻击面。

在撰写本文时，我们向安全与风险管理负责人提出了一个核心问题：“什么样的政策才能真正降低企业风险，而不是仅仅为了向外界展示组织已意识到人工智能风险而流于形式？”

Secure Code Warrior 的 Pieter Danhieux 谈如何管理 AI 驱动开发带来的风险

随着生成式 AI 在企业软件开发中占据稳固地位，一项熟悉的准则正变得愈发紧迫：风险管理。

Secure Code Warrior 今日发布了 SCW Trust Agent: AI。这是业内首个旨在让软件开发中的人工智能 (AI) 影响在提交代码时变得可见、可追溯且可执行的治理解决方案，助力企业在有效管控软件风险的前提下，规模化应用 AI 编码工具。

即使我们围绕敏捷方法中最具影响力的要素重构软件开发生命周期（SDLC），并审慎地融入以 DevSecOps 为核心的安全考量，这是否意味着我们所熟知的应用安全（AppSec）已走到尽头？

2026年全球信息安全奖：Secure Code Warrior 荣获网络安全风险管理与合规卓越成就奖

全新的 AI 软件治理解决方案可在提交代码时识别 AI 生成的代码，在生产前强制执行策略，并将实际开发行为与可衡量的风险降低联系起来。

Secure Code Warrior (SCW) 本周推出了一款人工智能 (AI) 代理，它不仅能识别由 AI 编码工具生成的代码，还能自动应用相应的治理策略。