代码安全扫描有个长期被吐槽的毛病：误报太多。安全团队每天往开发群里丢几十条漏洞提醒，最后发现八成是虚惊一场。开发者起初还会点开看，后来干脆全选忽略。这种"狼来了"式消耗，比不扫描更危险。
Checkmarx 最近发布的 Next-Gen SAST，就是冲着这个问题去的。它不再只是换个规则库或加几个检测模式，而是把三种扫描层叠在一起，先广撒网，再精准筛，最终送到开发者面前的，只有被确认过的真实漏洞。
三层设计：先找到，再确认
第一层是 Checkmarx 多年积累的规则引擎。这类引擎讲究一个稳，对 SQL 注入、跨站脚本这些经典漏洞的识别已经非常成熟，而且每次扫描都能给出可解释的命中理由。
第二层是专门调优过的 LLM。这个模型的主要任务，是覆盖传统规则跟不上的新代码形态——尤其是 AI 生成的代码。现在开发者用 Copilot 或 Codex 写代码越来越普遍，AI 生成的代码在逻辑排布上往往和人类习惯不太一样，老工具偶尔会漏掉。这一层就是为了兜住这些边角。
第三层叫 Finding Analysis Engine，也就是 FAE。它把前两层产出的所有候选结果收集起来，逐一做验证，把真正能复现、真正构成威胁的挑出来，把"看起来像漏洞但其实安全"的滤掉。这一步在过去的 SAST 里通常由人工来完成，现在交给了自动化引擎。
这三层并不是串联的流水线，更像是一个漏斗——第一层负责不漏，第二层负责更全，第三层负责更准。最终输出给开发者的，是经过三重确认的命中列表。
对开发团队的实际价值
最直接的感受是，警报数量变少了，但每一条都值得看。对正在跑 DevSecOps 的团队来说，这意味着安全负责人不用再花时间给开发摆事实讲道理，解释为什么"这条警报不用修"。开发者也不用在碎片时间里去排查那些无意义的告警。
另外，对大量使用 AI 辅助编码的团队，这一代的扫描器可以说正好踩在节点上。AI 生成的代码越多，安全盲区就越大，Checkmarx Next-Gen SAST 算是目前少数把"AI 代码检测"当成一等公民来做的 SAST 工具之一。
少一次误报，就多一分开发对安全团队的信任。Checkmarx 显然深谙这一点。
获取方式对现有用户非常友好：只要你的团队在使用 Checkmarx One 平台，这套能力会在现有订阅里直接解锁，不需要额外付费，也不需要重新部署一套环境。对新用户来说，这成了选择 Checkmarx 的一个加分项，但最终值不值，还是要看它在自己项目里的误报率表现。
上手需要注意什么
- 建议先在一个中等规模项目上试点，把新旧引擎的误报率、漏报率拉出来对比，用你团队自己的数据说话。
- 如果你们公司有大量自定义安全规则，一定要确认这些规则能否被 FAE 的验证层识别和处理——并不是所有规则都自动兼容。
- 对 AI 生成代码的检测能力，最好自己造一份包含 AI 生成代码的样本库来测，别只依赖官方演示。
Checkmarx Next-Gen SAST 没有发明新的扫描范式，它只是把"减少噪音"这件事做到了更深的层次。在安全工具普遍让人疲劳的今天，这种面向开发者体验的优化，可能比增加几个新的检测插件更能撬动实际安全水位。
评论
暂无评论
成为第一个评论的人