Taylor Luttrell-Williams：用 SonarQube Hunter Agent 发现逻辑漏洞

我是 Taylor Luttrell-Williams，在 Sonar 制作面向开发者的内容，我们也是 SonarQube 的开发者。SonarQube Hunter Agent 是一个 AI 安全智能体，旨在抢在攻击者之前发现传统静态应用安全测试（SAST）无法捕获的漏洞。

在智能体时代，代码交付速度和数量都在增长。我认为，随之进入生产环境的漏洞也越来越多。传统的模式扫描器擅长发现特定模式，但有些问题关乎意图，未必表现为代码中可识别的模式。

即使代码在功能上有效，也可能存在逻辑漏洞。问题在于它的行为违反了预期的业务逻辑。围绕常见模式设计的扫描器，可能无法识别应用正在做设计者并不希望它做的事。

许多公司一年只做一两次渗透测试，或者每季度做一次。攻击者使用的模型越来越强，而代码变更交付得越来越频繁，我认为团队需要另一种方式，在测试间隙发现并处理这些漏洞。

Hunter Agent 首先对整个代码库建立全局映射。映射会引导三个专门智能体分别调查一类问题以及组件之间的关系。它们会尝试厘清应用的安全预期，而不是孤立地检查每一段代码。

接下来，系统使用对抗式验证检查线索是否属实，并用噪声过滤减少低可信度结果或将预期行为误报的问题。这些工作流程负责智能体编排，输出可分配给开发者处理的发现。

产品会为每个发现标注严重程度、描述潜在影响，并指出代码库中的相关位置。对已有 SonarQube 用户来说，Hunter Agent 问题与 SAST 工具的发现一起出现在同一套工作流中。

从发现漏洞到利用漏洞的时间不断缩短，安全团队需要能够跟上节奏的工具。Sonar 正在加入 OpenAI 的 Daybreak Cyber Partner Program；我们预计这一计划会为 Hunter Agent 等产品带来对高级网络安全前沿模型的受控访问。

工作流程覆盖整个代码库，Sonar 表示每条线索在呈现前都会经过调查和验证。我们利用额外的推理能力，让发现更加准确、可重复、可审计。我们建议将 Hunter Agent 与 SAST、软件成分分析结合，构成独立的安全层。

演示中，我在 SonarQube Cloud 扫描了一个简单的 Python 应用。Hunter Agent 页面支持按需启动扫描，并估算深度扫描项目所需的单位数。该产品也适用于自托管的 SonarQube Server。

扫描时间取决于项目规模和复杂度，可能超过一小时，因此我提前运行了这次扫描。系统安全克隆目标代码库，梳理应用架构和攻击面，建立威胁模型，然后对整个代码库进行上下文扫描。

专门智能体会查找不安全的直接对象引用、访问控制失效和业务逻辑缺陷等问题。系统汇总并去重这些发现，然后将验证过的漏洞记录到现有的 SonarQube 问题列表中。

示例扫描显示 46 个未解决问题，分为访问控制失效、业务逻辑以及认证和会话三类。我可以从仪表盘打开某一类别，在查看其他 SonarQube 问题的同一位置检查具体发现。

访问控制失效可能包括不安全的直接对象引用、缺失授权检查、权限提升、敏感数据泄露和跨站请求伪造。业务逻辑问题则包括跳过必要流程、可被滥用的重复操作和缺失速率限制。

认证和会话问题可能涉及认证失效、会话固定、不失效的会话、薄弱的密码恢复、缺失多因素认证，以及允许暴力破解的缺口。在示例中，我打开了一个高严重程度的访问控制问题，它带有 Hunter Agent 标签。

问题页面指出受影响的代码、解释问题原因并给出修复建议。这个例子中，已登录用户可以修改自己的角色字段，从而通过管理员访问检查。检查本身单独看可能正确，但它依赖的是用户能够修改的字段。

问题默认处于未解决状态，可以分配给开发者。团队可以接受一个有效问题，使它不影响质量门禁；也可以确认问题，使它影响门禁；或者在复核后将其标记为误报。

第二个高严重程度问题是：用户只凭账户密码、无需完成多因素认证，就能访问包括管理员功能在内的受保护路由。问题页面同样展示代码位置、影响原因、可能的修复方式和相关活动。

Hunter Agent 可以按需运行，也可以定时运行。团队可以配置每天、每周或每月等频率，还可以选择指定分支，而不必每次都扫描主分支。

除了为这些业务逻辑层面的漏洞提出修复建议，Sonar 还在推出自动修复。问题可以分配给独立的 SonarQube 修复智能体，也可以安排定时修复。目标是帮助团队抢在攻击者之前发现这些缺陷。