Anthropic, OpenAI, Cloudflare và Google giờ đây mỗi bên đều gửi một tác nhân AI chuyên săn lùng các lỗi bảo mật trong mã nguồn. Chúng tôi đã kiểm tra các kho lưu trữ, tài liệu và chi tiết kỹ thuật đằng sau mỗi kho. Phát hiện quan trọng: cả 4 công cụ đều hội tụ trên một thiết kế. Một đặc vụ tìm thấy lỗi, một đặc vụ riêng biệt cố gắng bác bỏ nó và chỉ những người sống sót mới nhận được bản vá. Sự khác biệt nằm ở chỗ họ hoạt động ở đâu, ai có thể sử dụng chúng và họ yêu cầu bao nhiêu bằng chứng. Bài học chính

4 phòng thí nghiệm, 1 mẫu: tìm, bác bỏ độc lập rồi vá lỗi. Claude Security chạy bên trong Mã Claude; không cần thêm khóa API. CLI của Codex Security là Apache-2.0, nhưng quá trình quét vẫn cần quyền truy cập OpenAI. Kỹ năng của Cloudflare là MIT, bất khả tri về mô hình và được đánh dấu sao nhiều nhất với 47,5K. Mantis của Google tái tạo lỗi trong hộp cát; Google nói cách ly nó.

Tại sao 4 phòng thí nghiệm lại vận chuyển cùng một thứ vào năm 2026 Vấn đề mà mỗi người trong số họ đang giải quyết là tiếng ồn. Nhóm bảo mật của Google viết rằng việc quét mã AI cẩu thả sẽ tạo ra các lỗi ảo giác và tỷ lệ dương tính thật dưới 7%. Một máy quét sai 93% thời gian sẽ khiến người đánh giá tốn nhiều tiền hơn là tiết kiệm được. Cách khắc phục chung là phân chia nhiệm vụ. Người đại diện báo cáo một phát hiện sẽ không bao giờ được xác nhận nó. Cloudflare nêu quy tắc trực tiếp trong README của nó: người xác minh không bao giờ là tác nhân tìm ra lỗi. Anthropic, OpenAI và Google đều mô tả một bước xác thực tương tự trước khi mọi thứ được đưa vào báo cáo. Người lái xe thứ hai là vi phạm. Nhóm Anthropic tuyên bố rằng họ chế tạo máy quét một phần vì những kẻ tấn công đã sử dụng các mô hình AI để tìm ra các lỗ hổng có thể khai thác được, theo The Hacker News. Google mở đầu bài đăng về Mantis bằng cách lưu ý rằng các mô hình hiện có thể phát hiện và khai thác lỗi mà không cần nhiều sự trợ giúp của con người.

1. Bảo mật Claude của Anthropic Nó là gì: Một trình quét lỗ hổng đa tác nhân chạy bên trong phiên Mã Claude. Đây là phiên bản địa phương của sản phẩm Claude Security được lưu trữ trên máy chủ của Anthropic, theo plugin README. Cách thức hoạt động: Đặc vụ lập bản đồ kiến ​​trúc, xây dựng mô hình mối đe dọa, tìm kiếm trên mọi thành phần và xác minh từng phát hiện một cách độc lập. Plugin cung cấp 3 công việc từ một menu: quét cơ sở mã, quét các thay đổi hoặc đề xuất các bản vá, theo tài liệu của Claude Code. Đầu ra: Báo cáo Markdown cùng với tệp SARIF 2.1.0 để quét mã GitHub. Mỗi phát hiện đều có mức độ nghiêm trọng, danh mục CWE, các bước tác động và tái tạo. Các bản vá được soạn thảo ở dạng bản sao đầu và được lưu trữ dưới dạng tệp F .patch. Plugin không bao giờ tự mình cam kết, đẩy hoặc mở yêu cầu kéo. Chi phí và quyền truy cập: Nó không thực hiện lệnh gọi mô hình riêng nên không có khóa API riêng. Số lần quét được tính vào giới hạn sử dụng của gói Claude của bạn. Sao chép MãĐã sao chépSử dụng Trình duyệt khác/cài đặt plugin claude-security@claude-plugins-official /claude-an ninh Dòng thời gian: Anthropic đã mở bản xem trước giới hạn mang tên Claude Code Security vào tháng 2 năm 2026. Người dẫn chương trình ed đã đạt đến phiên bản beta công khai dành cho khách hàng Doanh nghiệp trên Claude Opus 4.7. Plugin Claude Code đã bước vào phiên bản beta vào ngày 22 tháng 7 năm 2026, theo Tin tức về an ninh mạng. Vào tháng 8, máy quét được lưu trữ đã chuyển sang Claude Mythos 5, theo Dataconomy. Nơi phù hợp: Anthropic định vị nó thành một lớp. Plugin hướng dẫn bảo mật sẽ kiểm tra mã khi Claude viết nó và /security-review thực hiện một lần chuyển qua một nhánh. Claude Security là tính năng quét sâu theo yêu cầu.
2. Bảo mật Codex của OpenAI Nó là gì: SDK CLI và TypeScript, được xuất bản dưới dạng @openai/codex-security, để tìm, xác thực và sửa các lỗ hổng. Cách thức hoạt động: Nó quét toàn bộ kho lưu trữ, các đường dẫn đã chọn hoặc khác biệt Git. Cờ sâu –mode chạy các công cụ khám phá song song. Nó xác nhận các phát hiện của ứng viên, tạo ra các bản vá và có thể xác minh các bản sửa lỗi hiện có. Lệnh chính sách cs soạn thảo một SECURITY.md cho biết các lần quét trong tương lai những gì được coi là lỗ hổng trong dự án của bạn. Đầu ra: Các mô hình mối đe dọa, xuất SARIF, JSON hoặc CSV, cùng với việc xuất bản lên Tuyến tính. Nó có thể nhập cảnh báo quét mã GitHub và đề xuất chủ sở hữu từ lịch sử Git. Hành động GitHub chạy quét theo lịch trình hoặc quét theo yêu cầu; theo mặc định, các phát hiện chỉ ở chế độ báo cáo. Sao chép mãĐã sao chépSử dụng trình duyệt khác npm install --global @openai/codex-security đăng nhập cs quét cs Chi phí và quyền truy cập: Máy khách là Apache-2.0, nhưng máy quét đằng sau nó thì không. DevOps.com lưu ý CLI và SDK vẫn ở phiên bản beta giới hạn dành cho khách hàng được phê duyệt. README liệt kê OpenAI, Amazon Bedrock, OpenRouter và Fireworks AI là nhà cung cấp. Yêu cầu Node.js 22.13+ và Python 3.10+.
3. Kỹ năng kiểm tra bảo mật của Cloudflare Nó là gì: Một kỹ năng được MIT cấp phép giúp biến bất kỳ tác nhân mã hóa có năng lực nào thành người kiểm tra bảo mật. Cách thức hoạt động: Đánh giá 6 giai đoạn:

Trinh sát: lập bản đồ kiến ​​trúc, ranh giới tin cậy và các bề mặt đầu vào vào architecture.md và sổ cái bảo hiểm. Săn bắn theo phạm vi bảo hiểm: mỗi thợ săn bị cô lập đều lấy các đơn vị sổ cái; các nhà phê bình đưa tin tìm kiếm những khoảng trống. Xác thực ứng viên: một người xác minh mới cố gắng từ chối mọi ứng cử viên duy nhất. Kết quả đầu ra có cấu trúc: các bản ghi đã được xác nhận, cần_validation và bị từ chối chuyển đến seek.json, được kiểm tra dựa trên một lược đồ. Xác minh hồ sơ độc lập: đại lý mới xác minh lại mọi khiếu nại nguồn cuối cùng. Báo cáo trung lập về mục tiêu: REPORT.md và các tệp chi tiết được lấy từ các bản ghi đã được xác minh.