Четыре гиганта, один паттерн: как агенты безопасности Anthropic, OpenAI, Cloudflare и Google ловят баги
Все четыре инструмента решают одну проблему — шум. По данным команды безопасности Google, у небрежных ИИ-сканеров доля истинных срабатываний не дотягивает до 7%, то есть 93% находок — галлюцинации. Поэтому везде работает принцип разделения обязанностей: агент, сообщивший об уязвимости, не имеет права сам ее подтверждать. Cloudflare прямо пишет в README: верификатор никогда не является тем агентом, который нашел баг. Второй драйвер — наступление: атакующие уже используют ИИ для поиска эксплойтов, и лаборатории создают сканеры как ответ.
Claude Security от Anthropic — это мультиагентный сканер, который живет внутри Claude Code. Он строит карту архитектуры и модель угроз, а затем независимо проверяет каждую находку. Из одного меню можно запустить полное сканирование кодовой базы, проверку изменений или генерацию патчей. Результат — Markdown-отчет и SARIF-файл для GitHub code scanning. Патчи создаются в черновике и сохраняются как .patch-файлы, при этом плагин сам ничего не коммитит и не открывает PR. Отдельного API-ключа не нужно — трафик идет через обычный тариф Claude.
Codex Security от OpenAI — это CLI и TypeScript SDK под именем @openai/codex-security. Он умеет сканировать весь репозиторий, выбранные пути или Git diff, а флаг --mode deep запускает параллельных «разведчиков». Находки валидируются, превращаются в патчи, экспортируются в SARIF, JSON или CSV, а также публикуются в Linear. Есть команда cs policy, которая генерирует SECURITY.md с правилами, что считать уязвимостью в проекте. GitHub Action интегрируется в пайплайн и по умолчанию работает в режиме «только отчет».
Cloudflare и Google тоже в игре: навык Cloudflare опубликован под MIT-лицензией, не привязан к конкретной модели и собрал 47,5 тыс. звезд на GitHub. Модель Mantis от Google воспроизводит найденный баг в песочнице — и разработчики предупреждают: запускать ее стоит строго изолированно. В целом это показательный момент: индустрия пришла к единому мнению, как строить надежных ИИ-охотников за багами.