Semgrep: Claude отсеивает 20% находок безопасности, согласие 92%

Semgrep — компания в области кибербезопасности, которая проверяет программный код на уязвимости. По описанию компании, разработка ПО ускоряется быстрее, чем за ней успевает безопасность, а традиционные инструменты проверки приложений заваливают команды неточными предупреждениями и пропускают действительно важные уязвимости. Ложные срабатывания отнимают время инженеров и мешают разработчикам работать. Задача — сократить шум в предупреждениях, выделять находки с высокой степенью уверенности и достижимые уязвимости, ускорить их исправление и при этом защищать как написанный людьми, так и сгенерированный ИИ код.

Semgrep использует модель Claude в сервисе Amazon Bedrock для многих ИИ-функций своей платформы, доступных клиентам. Эти функции помогают разработчикам находить, фильтровать и исправлять уязвимости в коде и сокращают число ложных срабатываний. Платформа сочетает детерминированный статический анализ кода с рассуждениями ИИ: модель помечает часть находок безопасности как не требующие реакции и проставляет теги компонентам. Решение встроено в среды разработки и конвейеры CI/CD, работает на облачной инфраструктуре AWS и доступно через AWS Marketplace. До перехода на Claude соответствующие функции работали на модели GPT-4o.

По данным Semgrep, ИИ-функции на Claude ежедневно обрабатывают и анализируют тысячи находок безопасности для клиентов. Система уверенно помечает 20% находок как безопасные для игнорирования; с такой разметкой соглашаются 92% пользователей и 96% исследователей безопасности. По сравнению с прежней реализацией на GPT-4o точность выявления ложных срабатываний выросла на 16%, качество тегирования компонентов — на 17%.