标签：static-analysis
-
将确定性代码验证引入智能体编程循环：Sonar Vortex 的引导与实时检查
AI Engineer
Sonar 介绍了将代码验证嵌入编程智能体工作流的插件 Sonar Vortex。它在编码前为智能体提供项目架构与规范上下文，并在生成时通过确定性静态分析实时拦截安全与质量漏洞，促使智能体自主迭代修复，减少上下文消耗与 PR 返工成本。 -
Sonar 推出 SonarQube Hunter Agent：利用前沿 AI 推理检测业务逻辑安全漏洞
AI Engineer
Sonar 推出 AI 安全智能体 SonarQube Hunter Agent，并加入 OpenAI Daybreak Cyber 合作伙伴计划。该智能体针对传统 SAST 难以覆盖的意图与业务逻辑漏洞，通过全局仓库映射与多子智能体协作发现越权、业务逻辑和身份验证缺陷，并支持按需或定时扫描与自动修复。 -
智谱ZCode静默上传代码风波始末与AI编程工具的架构级信任危机
Best Partners TV
开发者逆向揭露智谱旗下AI编程工具ZCode在后台静默将包含完整Git历史的整个工作区打包加密并持续尝试上传至云端OSS。随着涉事企业正式发函追责，事件从社区技术争议升级为法律与商业博弈。深度对比Cursor与Grok Build技术实现，本文剖析了AI编程工具在Harness外围架构层面的数据越权与系统信任边界。 -
Nubank 如何在 2000 个 AI Skill 触达开发者前完成安全审查
AI Engineer
本文详细介绍了金融科技巨头 Nubank 产品安全经理 Lucas Palma 介绍的 AI 技能安全审查系统 Skill Vector。该系统通过本地扫描、CI 流程、确定性检查与大语言模型（LLM）双重机制，在内部 Marketplace 分发前识别并阻断了上千个潜在安全风险，有效保障了 AI 时代开发工作流中的软件供应链安全。 -
为什么 SWE-bench 高分，在大厂 Kotlin
项目里依然会打转？
yage.ai
文章探讨了为什么通用 AI Coding Agent 在不同语言（如 Python 与 Kotlin）上的表现存在差异，核心在于预训练数据密度与语言类型系统约束的底层物理差异。它指出，Agent 的实际工程 ROI 并非由模型本身决定，而是取决于其所处的生态环境，特别是外层 Harness 对构建日志和静态诊断的处理能力。最终建议企业应放弃依赖通用榜单采购，转而利用公开基准（Evaluation Seeds）自建私有微评测矩阵。