VulnHunter: La herramienta de seguridad de código con IA agente de Capital One ahora es de código abierto

Capital One ha publicado como código abierto VulnHunter, una herramienta de seguridad de código basada en IA agente que analiza proactivamente el código fuente desde la perspectiva de un atacante. Diseñada para contrarrestar la creciente amenaza de la automatización de exploits impulsada por IA, VulnHunter hace tres cosas que la distinguen de los escáneres pasivos: ejecuta un motor de falsificación para minimizar falsos positivos, razona hacia adelante desde los puntos de entrada accesibles al atacante en lugar de hacia atrás desde sumideros peligrosos, y produce remediaciones de código respaldadas por evidencia.

Características Técnicas Clave

• Motor de Falsificación: Tras identificar una vulnerabilidad potencial, VulnHunter intenta activamente refutar su propio hallazgo buscando suposiciones no respaldadas, brechas lógicas o condiciones que impedirían el ataque. Solo los hallazgos que superan esta verificación adversarial llegan al desarrollador.
• Análisis Adelantado Primero el Atacante: En lugar de la coincidencia de patrones basada en sumideros, VulnHunter comienza en puntos de entrada accesibles al atacante (APIs, mensajes de red, cargas de archivos) y razona hacia adelante a través de la lógica de la aplicación, transformaciones de datos y puntos de control de seguridad para evaluar si un atacante puede realmente abrirse paso.
• Remediación Basada en Evidencia: Cuando un hallazgo sobrevive a la falsificación, VulnHunter mapea toda la ruta del exploit, describe las capacidades que obtendría un atacante y genera cambios de código enfocados para la revisión del desarrollador.

Enfoque en la Experiencia del Desarrollador

VulnHunter fue diseñado para reducir la carga de clasificación al evitar intencionalmente las falsas alarmas. La herramienta busca entregar solo hallazgos que han sido rigurosamente desafiados internamente, para que los desarrolladores puedan concentrarse en reparar vulnerabilidades verificadas en lugar de filtrar ruido.

La herramienta está construida para escala empresarial, pero el lanzamiento de código abierto la pone a disposición de cualquier equipo de desarrollo. Aunque Capital One la ejecutó en su propio código base antes de publicarla, el código fuente incluye el flujo de trabajo completo de razonamiento agente y el motor de falsificación.