Sonar工程师Taylor Luttrell-Williams演示Hunter Agent：AI如何识别传统SAST漏掉的逻辑漏洞
在AIE CODE峰会的演讲中，Sonar的Taylor Luttrell-Williams介绍了SonarQube Hunter Agent。该工具通过映射代码库、运行三个专家代理并对抗性验证发现，旨在捕捉基于模式的静态应用安全测试（SAST）无法识别的逻辑漏洞，如权限控制失效和业务逻辑缺陷。现场演示显示其在Python应用中发现了46个问题，包括用户提权和MFA绕过。
传统的基于模式的静态应用安全测试（SAST）擅长捕捉坏代码，但往往难以识别那些代码本身有效但意图存在缺陷的问题，例如破坏性的访问控制、业务逻辑差距和身份验证漏洞。针对这一痛点，Sonar公司的Taylor Luttrell-Williams在AIE CODE峰会上介绍了其新推出的SonarQube Hunter Agent。
根据演讲描述，Hunter Agent的工作机制并非简单的规则匹配，而是首先映射整个代码仓库，然后运行三个专门的AI代理进行深度分析，并对每一个发现进行对抗性验证。这种设计旨在模拟攻击者的思维路径，从而发现人类开发者或传统工具容易忽略的逻辑缺陷。
在演示环节中，Luttrell-Williams展示了该工具在一个Python应用程序中的实际表现。Hunter Agent成功识别出46个安全问题，其中包括允许普通用户将自己提升为管理员的权限漏洞，以及多因素认证（MFA）绕过问题。这些案例具体说明了AI代理在处理复杂逻辑漏洞时的潜在优势。
此外，演讲还提及Sonar已加入OpenAI的Daybreak网络合作伙伴计划，这标志着该公司在利用前沿AI模型增强网络安全防御方面迈出了重要一步。对于关注AI在软件工程和安全领域实际应用的专业读者而言，此视频提供了关于Agentic工作流如何改变代码审计方式的直观参考。