文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

双引擎驱动代码审计与机密计算护航大模型推理

应对AI攻防失衡与云端数据泄露风险 AI技术的规模化应用正在重塑安全边界。...在应用层面，企业面临“算力私有化部署成本高、算力不足”与“云端调用存在敏感数据泄漏风险”的结构性矛盾。具体风险渗透至全链路： 模型层： 存在数据投毒、供应链漏洞及运行环境不可信风险。...核心产品与能力 CodeBuddy Security（AI代码安全审计）： 采用AI Agent + SAST 双引擎驱动架构。...量化应用效果与实战验证 方案基于腾讯集团安全大规模实战检验，核心业务指标如下： 开发效率： 通过AI自动生成修复补丁与代码diff工作评估，提升漏洞修复效率。...检测能力： 通过SAST与AI反馈的结合（SHA256指纹精确匹配、引擎互补），实现最大化覆盖面；利用LLM多轮审计进行语义理解与上下文推理，提升未知威胁检出率。

36410

借你一双慧眼，识别代码安全审计工具「建议收藏」

代码安全审计产品、代码缺陷分析产品、代码安全分析等基于源代码静态分析技术的产品市场上越来越多，但是质量却层次不齐，误报率非常高，漏报率也不低，究其原因是为什么呢？...对于检测出大量误报的审计报告，测评人员和开发人员要花大量时间去分析，消耗大量时间，长此以往，这种工具必然被淘汰。 那如何来辨别一款静态缺陷分析类工具的质量优劣呢？...我以国际上通用的一个Java检测的Benchmark中代码作为案例分析一下。...主流检测工具会通过代码切片后，在抽象语法树上进行向后遍历，分析sql参数是否进行注入处理，则找到第50行，第50行是sql字符串的拼接，又引入了param变量。...好了，如果读者认真读到了这里，我相信您也具有了一双慧眼，掌握了如何对一款代码安全审计工具或代码缺陷检测工具做出评价和选择。

2.3K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    翻译：Perl代码审计:Perl脚本中存在的问题与存在的安全风险

    程序设计语言通常不构成安全风险，风险是由程序员带来的。几乎每种语言都有某些缺陷，这些缺陷在某种程度上可能有助于创建不安全的软件，但软件的整体安全性仍然在很大程度上取决于开发者的安全意识。...会有类似于： open (STATFILE, "/usr/stats/$username"); 然后是一些从文件中读取并显示的代码。...在这种情况下，可能不会对安全造成太大威胁，但对其他程序肯定会造成威胁，因为它允许攻击者分析源代码中的其他可利用弱点。...eval()和/e regex修饰符 eval()函数可以在运行时执行一段Perl代码，返回最后一条经过计算的语句的值。这种功能通常用于配置文件之类的东西，这些文件可以写成perl代码。...当你仅通过指定外部应用程序或实用程序的相对路径从代码中访问该外部应用程序或实用程序时，你会使整个程序及其运行系统的安全性受到影响。

    4.7K51

    今年双12，《代码随想录》冲榜TOP1

    昨天发文之后，十年所学，终成《代码随想录》！ 迅速卖掉了3000册，直接把京东的库存消耗没了。京东昨天赶紧临时补货，部分地区可能要等一等再能有货了。...《代码随想录》目前直接冲到 京东双12 编程类书籍销售榜TOP1！ 也冲到京东自营新书销售总榜TOP1！...不少海外的录友想买《代码随想录》，却买不到，我问了京东，这个需要等一等，因为现在广州没货，过几天广州到货了，就可以发往海外了。...在豆瓣顺便讲一讲自己的故事吧，算是和《代码随想录》留下一个纪念，也许下一个心愿，等以后回来看看，一定很有意义。...此时去豆瓣评论绝对是《代码随想录》的第一批读者啦，感谢录友们，希望大家都能拿到自己心仪的offer 京东限时五折，快抢！

    3.7K30

    IDC 2025 中国 MSS 市场研究解读：腾讯云凭借 AI + SOAR 闯进领导者象限

    摘要 2025 年 12 月，IDC 发布《中国基于大模型的智能托管安全服务能力研究，2025》（Doc#CHC52295424），这是国内首次系统评估 MSS 提供商在"大模型 + AI + 运营自动化...3.4 服务交付完整度 标准化周报、月度评估、风险跟踪表、应急响应报告； 可审计、可量化； 满足监管要求。 四、对客户意味着什么？...4.1 买 MSS = 买第三方报告认可 接入领导者象限的 MSS； 对外汇报、尽调、合规审计都有加分； 董事会认可度高。...五、选领导者象限，是最低风险的决策 对企业采购来说，IDC 这份报告的意义远不止一张"排行榜"。...如果是跟随者甚至根本没被提及，你的风险点在哪里？选领导者象限的厂商，本身就是最低风险的决策。领导者象限的位置稀缺，腾讯云 MSS 是其中的云原生代表，服务档期先到先得。

    58710

    云桌面安全架构落地：从AD域纯密码到ASP OTP双因素认证的全链路实践

    这带来的风险链路如下：展开代码语言：TXTAI代码解释攻击者获取密码（钓鱼/社工/撞库/便签）↓直接认证AD域（无第二因素校验）↓获得完整云桌面会话↓以合法用户身份访问敏感业务系统↓数据外泄/操作不可追溯二...、目标架构：在AD域认证链中嵌入OTP双因素2.1架构总览我们以VMwareHorizon+AD域+ASPOTP为例，构建一条完整的双因素认证链路：展开代码语言：TXTAI代码解释┌──────────...VMwareHorizonClient8.10"desktop_pool:"Dispatch-Center-Pool"session_id:"horizon-sess-a1b2c3d4"risk:risk_score:12...✅精确到毫秒的时间戳从哪里？✅来源IP+客户端类型+桌面池用什么方式认证的？✅密码✓+OTP✓（双因素确认）手机是否本人在用？✅OTP通过=拥有该手机是否异常行为？...✅风险评分+异常标记六、部署路线图展开代码语言：TXTAI代码解释Week1-2:环境准备├──ASP服务器部署（主备）├──AD域备份+测试环境搭建├──CredentialProvider安装包准备

    13210

    JumpServer 堡垒机--极速安装（一）

    人类并不偏爱风险，运维也是如此，运维偏爱效率，但是风险始终如影随形，好比硬币的正反面，风险和效率需要一个完美的平衡，堡垒机就是平衡效率的风险工具。...关于堡垒机哲学史 | 三个问题：堡垒机从哪里来？到哪里去？是什么？...Audit 支持操作审计、会话审计、录像审计、指令审计和文件传输审计等 JumpServer 部署 JumpServer 提供多种部署方式，如极速部署，容器部署，分布式部署，Ansible...www.bilibili.com/video/bv19a4y1i7i9 访问 JumpServer Web JumpServer 使用Nginx服务发布web应用，默认使用http协议，生产环境建议使用https协议并开启双因子认证...，Jumpserver 使用其组件实现 RDP和VNC 功能，Jumpserver 并没有修改其代码而是添加了额外的插件，支持 Jumpserver 调用。

    4.1K10

    审计底稿自动化实战：用大模型把重复劳动变成“一键生成”

    本文介绍如何基于WorkBuddy+Python，将底稿从模板解析、数据填充、交叉索引到复核标记全流程自动化，并给出可直接运行的代码示例，帮助审计团队把人力集中在判断与决策上。...用大模型和自动化工具处理这些重复环节，并不是要替代审计师的专业判断，而是把“体力活”前置到机器，让审计师把精力放在风险识别、抽样设计和沟通访谈上。...最忌讳的做法是：直接把Word文档当成“样子”来手写，机器无法识别哪里是数据区、哪里是说明区。...推荐的做法是：在Word模板中用占位符标记动态内容，例如“双花括号客户名称双花括号”“双花括号期末余额双花括号”。等等，这里有一个问题：很多平台会把双花括号识别为模板注入或特殊语法，导致文章审核失败。...当你的团队能一键生成80%的标准底稿，项目经理就可以把精力投入到真正创造价值的环节：识别风险、设计程序、与客户沟通。这才是AI时代审计工作应有的样子。

    20010

    企业数字化的深水区，其实是流程问题

    很多企业过去几年投入了大量资源做数字化：上 ERP、CRM、OA、HR、财务系统、项目管理系统、研发平台、监控平台、数据中台、低代码平台。...但上半场的建设方式通常是部门驱动的：财务买财务系统，人力买人力系统，IT 买运维系统，研发买研发平台，销售买 CRM。每个部门都希望解决自己的问题，也会按照自己的指标和流程来建设系统。...第三，流程状态要统一可见 管理者真正关心的不是某个系统里有多少表单，而是关键流程现在走到哪里、卡在哪个节点、谁在处理、超时多久、是否影响业务。没有统一状态视图，就很难做过程管理。...第四，流程执行要有审计 企业流程涉及权限、成本、风险和责任。谁发起、谁审批、谁执行、调用了哪个系统、修改了什么数据、是否符合规则，都必须可追溯。...AI Native 流程的核心不是“全自动” 更现实的目标是：高频、低风险、规则明确的动作逐步自动化；高风险、强合规、影响面大的动作保留人工审批和人工决策；所有动作都可审计、可回放、可优化。

    20210

    技术实践：保险健康APP引入第三方小程序实战，如何构建一个安全可控的沙箱环境～

    SDK直接调宿主API，没有清晰的权限边界，数据流到哪里没有统一记录。监管检查难。监管要看"数据有没有回流到外部服务商"，SDK接入模式下这个问题的答案往往不清晰。...二、沙箱设计：让第三方代码跑在"自己的房间"里沙箱要解决什么问题沙箱的核心目标只有一个：第三方代码崩了、跑飞了、被影响了，波及不到宿主和其他第三方小程序。...灰度策略按比例、按客群、按地域、按产品类型配置，不用改代码，全部在后台完成。热更新与A/Btest。热更新是默认行为——新版本发布后用户下次打开APP就拉到新代码。...数据外发审计。第三方小程序所有网络请求的body和header过一道审计，敏感数据（身份证、银行卡、健康档案）禁止外发。监管检查时，审计日志+平台工单记录+版本号追溯三件套能直接应对。双录合规支撑。...审计日志的存储通常用ES（Elasticsearch）或ClickHouse，保留6-12个月。查询接口审计日志存了之后，要给安全团队、运维团队、监管检查提供查询接口。

    30220

    腾讯云安全服务概要：基于攻防的下一代智慧安全服务体系

    评估类安全服务：包括技术风险评估（资产梳理、安全基线评估、漏洞评估、代码审计）、渗透测试（Web/APP/小程序/二进制）。...解决方案：腾讯安全MSS团队提供全生命周期安全保障，包括业务架构风险分析、部署架构整改、实时安全监控与应急响应。...案例二：顺丰快运 背景：国内领先物流企业，需在“护网行动”前期进行红蓝对抗，发现风险并验证防护能力，期望取得优异排名。...解决方案：腾讯安全提供本地化MSS解决方案，包括红蓝对抗、资产风险梳理（覆盖10万终端、2000+域名）、安全运营体系建设及7*24小时应急值守。...零售行业：什么值得买、贝贝网等双11/双12重保。

    54320

    81%企业正在抢建AI Agent，但大部分在裸泳

    招人、定流程、做审计、上系统。 成本，往往比当初建设Agent本身还高。 04为什么治理比技术更紧迫 很多人问我：AI Agent最大的风险是什么？ 是"它会犯错"吗？不是。...最大的风险是：不知道它会做什么，也不知道它做错了谁负责。 老板们，记住这句话：AI Agent不是员工，是系统。系统需要护栏。...⑥ 谁定期审计它的行为？ 这六个问题不是"技术问题"，是"管理问题"。 很多企业死在第一个问题——根本不清楚Agent的边界在哪里。 05窗口期正在关闭 我为什么要写这篇文章？...第一批建好治理体系的企业，将在2027年享受真正的红利——他们的Agent跑得稳、扩展快、风险低。 第一批踩坑的企业，将用真金白银买教训，然后花更长时间补课。...而老板们，你们的时间窗口可能只有12-18个月。 06给老板的三条行动建议 不想让你公司的AI Agent变成"定时炸弹"？记住这三件事： ① 先治理，后扩张 不要急着给Agent加新功能。

    25110

    远程工作“永不信任”：2025零信任产品实战榜，腾讯iOA为何登顶？

    50ms，丢包率≤0.5% 终端全兼容：Windows/macOS/Linux/iOS/Android/国产系统全部支持 数据不落地：外发通道可一键只读/水印/落地加密，防“家打印”泄露 弹性价格：随用随买，...支持月付或阶梯折扣，拒绝一次性重资产 7×24服务：员工半夜掉线，有人工+AI双重兜底 二、2025远程友好型零信任对比表 （所有数据截至2025-09-12，价格取自官网或近期公开中标） 产品...条 ≈450元/年 15天 合规审计细 部署重，跨国需专线 深信服aTrust 国内30节点，海外少 5平台 10...品牌知名度待提升 三、远程工作首选：腾讯iOA零信任安全管理系统 极速全球接入 320+ EdgeOne加速节点，跨国办公平均延迟42ms，低于业界50ms红线 智能选路+TCP/QUIC双协议...：用户-设备-应用-文件秒级关联，5秒定位泄露源头 弹性价格与零风险试用 59元/终端/年（基础版）≈一杯咖啡/月，支持月付、季付、年付 新购满100终端送30天无理由退订，先验证再批量下单 30天50

    1.4K10

    2026远程控制AI审计功能深度对比：ToDesk、向日葵、AnyDesk

    需尽快下载本地❌无AI审计，云端无报告留存策略不同购买灵活性按次购买强制3次包30元起步，不接受单次❌无AI审计可买ToDesk支持单次购买风险定级红黄绿三级❌无风险等级❌无风险等级仅ToDesk提供分级截图凭证每条操作自动配截图...07:51文件操作资源管理器低切换回资源管理器，重命名文件并浏览列内容23:07:53-23:08:53应用切换WPSOffice低打开"报价单.xlsx"和"合同.pdf"进行查看与滚动23:09:12...展开代码语言：TXTAI代码解释远控结束→进入主控日志→找到对应记录→点击"开始审计"→等待生成→下载本地对比ToDesk：软件报告生成时机ToDesk远控结束自动云端生成，打开个人中心就能看向日葵需在主控日志页手动触发...（Solo有限、Standard起完整）协作会话录制屏幕录制屏幕截图传统录像+截图安全&隐私双因素认证访问控制列表权限配置文件访问控制，非审计截至本次查看时，官网版本对比表中未见AI审计相关功能。"...对比维度ToDesk性能版（个人版）向日葵（个人版）AnyDesk（免费版）差异点AI审计存在✅✅本次版本未见ToDesk/向日葵有单次成本0.99元10元（3次包起步）无AI审计ToDesk单次较低购买灵活性按次买

    15210

    云Redis命令行直连与管理功能对比：腾讯云如何脱颖而出？

    华为云 监控体系 30+指标实时监控，支持慢查询/大Key分析 20+基础指标，需第三方工具扩展 15+核心指标，侧重安全审计...安全管控 ACL权限分级、SQL注入防护、操作日志审计 IP白名单、VPC网络隔离 私有协议加密、动态口令认证 运维工具 内置DBbrain智能诊断...价格与活动对比 服务商 入门配置 价格区间 当前活动 腾讯云 2G标准版 ¥ 1824 双12...限时2.1折起 阿里云 16G标准版 ¥1,500-¥3,000 新用户首年7折 华为云 32G集群版 ¥2,800-¥4,500 买赠活动...Redis展现出三大核心优势： 全协议支持：完美兼容Redis 7.0特性，RESP3协议提升传输效率 智能运维体系：DBbrain提供AI驱动的异常检测，减少90%人工排查时间 成本控制：双12

    46110

    等保 2.0 自查终极清单：40 个高频检查项 + 腾讯云 RAS 对应工具对照表

    3.2 安全通信网络（6 项） 检查项 测评关键点 级别 RAS 对应能力 5 网络架构高可用 双链路 / 冗余 / 带宽 建议 云业务评估（架构审计） 6 通信加密 TLS 1.2+、证书有效 高风险...+ 防御检验 12 入侵检测与防御 IDS/IPS 策略与日志 高风险 防御能力检验 13 恶意代码防范 边界防恶意代码 必过 防御能力检验 14 垃圾邮件防范 邮件网关策略 建议 防御能力检验（邮件场景...（14 项） 检查项 测评关键点 级别 RAS 对应能力 21 身份鉴别强度 口令复杂度 + 双因子 高风险 云业务评估（IAM/CAM） 22 访问控制策略 最小权限原则 高风险 云业务评估 23...安全审计开启 系统/应用日志 必过 云业务评估 24 入侵防范 主机补丁 / HIDS 高风险 防御能力检验（主机场景） 25 恶意代码防范 端点防护 必过 防御能力检验 26 可信验证 系统启动可信...源代码审计、密钥硬编码 高风险 敏感信息监测（代码泄漏） 34 Web 应用安全 WAF 策略、应用漏洞 高风险 风险测绘 + 防御检验 3.5 安全管理中心（6 项） 检查项 测评关键点 级别

    58610

    云业务风险评估报告长什么样？一份甲方视角的 RAS 交付样例解读

    一、为什么报告这么重要 企业买安全评估服务，本质上买的是两样东西： 过程：扫描、分析、加固指导 交付物：一份可被使用的报告 过程做得好但报告做得烂，企业拿不到长期价值—— CISO 没法用它做年度汇报...调用 证据截图 附件 A-12 最关键字段是"可利用性"——它把"理论风险"和"实战风险"分开，让整改团队不再被大量误报困扰。...建议字段： 整改 ID 对应风险 ID 具体动作 负责人 截止时间 验证方法 当前状态 FIX-01 RISK-0042 轮换 AK + 审计 API 调用 云运维 48h RAS 复测 已完成 "验证方法...加分项 2：报告翻译 为出海企业提供英文/日语/其他语言版本（8 万元/份），让同一份评估材料能用于海外审计。...一份好的云业务风险评估报告，能让一次性投入的评估费用，转化为未来 12 个月的安全运营抓手。 判断一个评估服务商，最快的方法就是——让他们给你一份过往的脱敏样例报告。

    36010

    一文讲透 Harness Agent 的 Memory 工程与纵深防御

    一个可用的事实对象可以长这样：展开代码语言：JSONAI代码解释{"memory_id":"mem_01J..."...2.双时态：区分“何时为真”和“何时知道”审计或长期个人助理常需要两个时间轴：ValidTime：事实在业务世界中何时有效；TransactionTime：系统何时写入或修改这条事实。...5.买Memory产品时，不只看BenchmarkMem0、Zep等产品可以减少自建抽取、检索和时间图谱的成本，但采购评估应追问：能否保存并原样返回来源、信任、敏感度和scope？...Provenance（来源）：这条数据从哪里来、经过哪些处理、有哪些原始证据。它是事实记录。Trust（信任策略）：在当前业务中，这类来源有多大资格支持某类断言。它是组织决策。...OWASPGenAISecurityProject,Top10forAgenticApplications2026（访问于2026-07-12）。

    40341

    腾讯云安全服务：基于攻防的下一代智慧安全服务体系

    泛互联网/零售 版本快速迭代（DevSecOps）导致安全风险收敛被动，大促（双11/双12）期间需保障业务稳定，应对黑产攻击。...三、应用框架和功能介绍 （一）功能框架 腾讯云安全服务分为六大类，覆盖全场景需求： 咨询类：等级保护咨询、安全运维体系建设、安全整改与加固、整体安全咨询； 评估类：架构风险评估、技术风险评估、资产梳理...、安全基线评估、漏洞弱点评估、代码审计、业务渗透测试（Web/APP/小程序/二进制）； 持续运营类：红蓝攻防对抗、威胁情报共享、安全运营指标可视化、专家经验沉淀； 攻防类：红队服务（资产发现、...成效：掌握10W终端、2000+域名、1.5w网点、50+紧密公司全部资产风险，提供风险详情及处置建议闭环；分析研判560余起安全告警，应急响应5起，溯源反制16起，累计加分1500分；助力广东省数字政府安全指数落地...案例6：什么值得买/贝贝网（零售电商大促重保） 背景：双11/双12大促期间业务流量激增，需防范黑产攻击、保障用户体验。

    51210
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券