Capital One 推出 VulnHunter：用 Agentic AI 自动发现代码安全漏洞

Capital One 近日披露了其内部开发的 AI 安全工具 VulnHunter，该工具利用 agentic AI 技术自动检测代码中的安全漏洞，标志着金融科技企业在 AI 辅助安全领域的又一重要实践。

发生了什么

VulnHunter 是 Capital One 内部孵化的代码安全工具，核心能力是在开发者提交代码之前，自动扫描并识别潜在的安全漏洞。与传统的静态分析工具不同，VulnHunter 采用了 agentic AI 架构——即具备自主决策能力的 AI 系统——能够模拟攻击者的思维模式，主动探索代码中的薄弱环节。该工具目前已在 Capital One 内部投入使用，并计划逐步开源部分组件。

为什么重要

传统代码安全工具往往依赖规则或签名库，难以应对新型攻击模式，且误报率较高。VulnHunter 的 agentic AI 方法通过模拟攻击者的推理过程，能够发现更隐蔽的逻辑漏洞和业务逻辑缺陷。此外，将安全检测嵌入开发流程（即“安全左移”）可大幅降低后期修复成本。Capital One 作为大型金融机构，其安全实践具有行业标杆意义，VulnHunter 的推出可能推动更多企业采用 AI 驱动的安全工具。

影响与看点

对开发者而言，VulnHunter 有望减少安全审查的等待时间，让漏洞在代码合并前就被修复。对安全行业而言，agentic AI 在代码安全领域的应用可能催生新一代“AI 红队”工具。值得关注的是，Capital One 计划开源部分组件，这将加速社区对 agentic AI 安全技术的探索。然而，AI 自身的安全性（如对抗性攻击）仍是潜在风险，工具的有效性需经更广泛的第三方验证。