Релизы

v4.0

AI-агенты для статического анализа, сканирования веб-приложений и тестирования на проникновение, а также встроенное управление уязвимостями.

В прежних релизах языковая модель помогала сканерам. В этом работу ведут агенты: они сами планируют проверку, запускают инструменты и подтверждают каждую уязвимость на живой системе, прежде чем показать её вам. Кроме того, в платформе появилось собственное управление уязвимостями, которое раньше целиком лежало на DefectDojo.

Все возможности ниже объединяет одна идея: уязвимость попадает в отчёт не потому, что совпал шаблон, а потому, что платформа смогла её показать — прослеженным путём вызовов, воспроизведённым HTTP-обменом или сработавшим эксплойтом.

AI Native SAST

Модель читает каждый файл в области сканирования и описывает уязвимости структурированными записями. Так обнаруживаются ошибки в логике, в проверке прав и в обращении с данными, даже если для них нет готовых правил. Сигнатурный сканер такие ошибки не видит в принципе.

Возможность	Описание
Фильтр достижимости	Агент с набором инструментов открывает окружающий код, проходит по вызывающим и вызываемым функциям и выносит строгий вердикт: «достижимо» или «недостижимо». Недостижимые уязвимости до вас не доходят, а достижимые приходят с диаграммой пути вызова в качестве доказательства.
Анализ архитектуры безопасности	Необязательный проход: строит модель границ доверия и потоков данных для всего репозитория и передаёт её в оценку критичности, чтобы оценка учитывала устройство вашего приложения, а не типовой шаблон.
Анализ истории Git	Необязательный проход: ищет рискованные изменения в недавних коммитах.
Дедупликация по идентичности	Уязвимость определяется классом, файлом и параметром. Дубли отсеиваются и внутри сканирования, и по истории: если уязвимость вернулась, открывается прежняя запись, а не заводится новая.
Выбранная область (Custom Scope)	Режим, в котором сканируются только файлы и папки, подходящие под ваши шаблоны. Так дорогой AI-анализ можно направить на важный код.

См. Запуск сканирования с ИИ.

Достижимость зависимостей

Сканер зависимостей сообщает обо всех уязвимостях, которые затрагивают ваши lock-файлы. Четыре фильтра, от дешёвого к дорогому, отбирают те, которыми стоит заняться всерьёз: критичность, затем зафиксированная эксплуатация в реальных атаках, затем применимость к этому компоненту в установленной версии и, наконец, достижимость — вызывает ли ваш код уязвимое место.

Уязвимости, дошедшие до отчёта, приходят со ссылками на эксплойты и схемой: точка входа, место подключения компонента и уязвимая функция. Журнал сканирования показывает, сколько уязвимостей отсеял каждый фильтр, а сами отсеянные остаются в обычной таблице зависимостей, так что ничего не пропадает незаметно.

См. Достижимость зависимостей.

Проверка секретов с помощью AI

Секреты от трёх сканеров проходят общую обработку, и каждый получает оценку. Фильтры по путям и детерминированные правила бесплатно решают очевидные случаи. Благодаря кэшу по значению ключ, повторённый в двадцати файлах, оценивается один раз. А модель видит фрагмент кода вокруг секрета именно в том коммите, где он найден, а не голую строку.

См. Поиск секретов.

AI-документация по коду

Платформа описывает кодовую базу с упором на безопасность: из чего она состоит, как связаны её части и в каком порядке их изучать. Документация открывается прямо в веб-интерфейсе и особенно выручает, когда код писали не в команде безопасности.

См. Документация по коду с ИИ (нет в Teams).

AI DAST

Сканер проверяет приложение снаружи, методом чёрного ящика. Модель выбирает точку атаки, технику и конкретные значения нагрузки, а модуль техники строит последовательность запросов и оценивает ответ.

01
Обнаружение
Обход сайта и импортированные результаты обхода формируют поверхность атаки, а сканер сводит её к уникальным точкам. Один и тот же параметр не проверяется заново под каждым адресом, где он встречается.
02
Профилирование
От обнаруженного WAF зависит кодирование полезной нагрузки, а необязательный профилировщик поверхности расширяет покрытие за пределы того, до чего добрался краулер.
03
Проверка
Модель выбирает один из 34 модулей техник и значения полезной нагрузки. Всё, что может изменить состояние системы, проходит через защиту от разрушающих нагрузок.
04
Подтверждение
Второй проход отправляет собственные запросы и либо подтверждает уязвимость, либо снимает её. То, что не воспроизводится, отбрасывается, а не попадает в отчёт с пометкой «информационное».
05
Отчёт
Для подтверждённых уязвимостей указываются критичность, список полезных нагрузок и полный HTTP-обмен, на котором они проявились.

См. Сканирование веб-приложений.

AI Pentest

Агенту достаточно указать область тестирования и описать задачу одним предложением. Дальше он сам составит план, запустит инструменты, найдёт обходной путь, если план зайдёт в тупик, и вернётся с уязвимостями, которые сумел доказать.

Возможность	Описание
Работа по плану	План, выполнение, анализ, гипотезы, перепланирование, отчёт — те же этапы, что и у живого пентестера.
Журнал хода тестирования	Долговременная память: версии плана, запуски инструментов, разборы и найденные уязвимости. Ничего не запускается дважды и ничего не теряется между фазами.
Фаза гипотез	Отдельный этап: агент по справочнику техник ищет варианты атак, которых не было в плане, и заносит их в дерево атак как зацепки.
44 инструмента	Разведка, корпоративные сканеры через API, наборы для веб-сканирования, интерактивный HTTP со входом и сравнением ответов, запуск команд из белого списка.
От поиска эксплойта до PoC	Агент находит продукт и версию в базе эксплуатируемых CVE, скачивает подходящий эксплойт, собирает proof of concept и запускает его в песочнице. Уязвимость записывается, только если PoC сработал.
Цепочки атак	Уязвимости, которые открывают путь друг к другу, связываются в цепочки и показываются в отчёте.
Защитные ограничения	Область тестирования проверяется при каждом вызове инструмента. Командной оболочки нет, запускаются только программы из белого списка, страницы эксплойтов загружаются только по адресам из базы, PoC выполняется в песочнице, на запуск действуют лимиты.

См. ИИ-пентест.

Управление уязвимостями

Результаты всех сканеров — AI Native SAST, анализа зависимостей, поиска секретов, AI DAST, AI Pentest и классических сканеров — теперь сводятся в единые записи внутри самой платформы. Раньше такие записи были только в DefectDojo.

Возможность	Описание
Объединение	Одна и та же проблема из разных сканеров и разных запусков сводится в одну запись, а вернувшаяся уязвимость заново открывает прежнюю карточку.
Проверка прямо в записи	Вердикт об эксплуатируемости, уровень риска, уверенность, обоснование, рекомендуемое действие и ссылки на случаи эксплуатации хранятся в самой записи вместе со схемой пути данных в коде и пояснением к каждому шагу.
Работа над исправлением	Статус, ответственный, срок, теги, ссылки, доказательства, способ устранения и рабочие заметки. Статус меняется прямо в списке, а уязвимость можно завести и вручную.
Панель	Распределение по критичности, общее число открытых уязвимостей, просканированные продукты и репозитории, самые уязвимые цели и самые частые уязвимости.
Поиск и выгрузка	Поиск по CVE, заголовкам и целям, фильтры по продукту, критичности и статусу, выгрузка в XLSX одной кнопкой.

См. Управление уязвимостями.

Исполняемые proof of concept

Сгенерируйте proof of concept, наблюдая за работой модели на экране, поправьте код прямо здесь, сохраните, запустите в песочнице и посмотрите код возврата и вывод. Если не сработало, отправьте его модели на доработку под нужное условие успеха.

См. Подтверждение эксплуатации (PoC).

AI-провайдеры и контроль расходов

Возможность	Описание
Второй провайдер	Модели Claude в Google Cloud Vertex AI в дополнение к любому серверу с API, совместимым с OpenAI, в том числе к моделям, развёрнутым локально в вашей сети.
Резервный провайдер	Провайдеры опрашиваются по очереди, и первого ответившего можно закрепить до конца сканирования, чтобы запуск не переключался между моделями.
Учёт токенов	Для каждого сканирования записываются входные, выходные и суммарные токены, так что стоимость работы видна, а не прикидывается на глаз.
Язык генерации	Настройка языка, на котором модель описывает уязвимости и пишет отчёты.

См. Поставщики ИИ и стоимость.

Платформа

Возможность	Описание
Глобальный поиск	Единый поиск по активам, уязвимостям, сканированиям и учётным данным. См. Глобальный поиск и журнал активности.
База эксплуатируемых уязвимостей	Выросла до более чем 130 000 CVE с доказательствами эксплуатации: записи KEV, опубликованные эксплойты, код PoC или высокая оценка EPSS. У каждой CVE есть своя страница, поиск работает по всем полям, и всё это локально, без обращений наружу.
Интерфейс командной строки	Запуск сканирований, проверка статуса и получение отчётов из терминала или скрипта; сканеры и режим задаются параметрами.
Объектное хранилище	Артефакты сканирования и отчёты хранятся вне базы данных.

Если вы только начинаете работать с AI-возможностями, откройте раздел Поставщики ИИ и стоимость: все сканеры с этой страницы используют заданного там провайдера, и описанные там способы сократить расходы действуют для всех сразу.

Проверено: 2026-08-16