WuKongQL 智能源代码漏洞挖掘平台聚焦各行业企业在代码开发全流程中的安全与质量管控需求，填补国内“SAST检测引擎+QL查询规则+AI智能能力”深度融合的市场空白。平台突破传统静态扫描工具规则固化、语义分析薄弱、误报漏报突出等行业痛点，形成QL 查询语言自定义规则 + 代码语义数据库检索+ AI 智能校验修复一体化技术体系，实现代码安全 “规则自定义、漏洞全挖掘、结果智能核验、缺陷自动修复” 全闭环能力，可深度嵌入 DevSecOps 研发流程，在编码、构建、上线全阶段前置安全检测，从源头管控软件安全风险。核心技术原理：QL 规则驱动 + 语义数据库检索静态编译解析，构建标准化语义数据库WuKongQL 内置自主研发多语言静态分析编译器，针对 Java、C/C++、Python、JavaScript 等10多种主流编程语言开展全量代码解析：对编译型语言，通过编译器插件或源码分析生成代码数据库;对解释型语言，l通过动态分析或源码解析构建模型。所有结构化代码数据统一存入专属代码语义数据库，将程序代码转化为可检索、可关联、可追溯的关系化数据，为后续漏洞查询提供完整数据底座，区别于传统工具仅做浅层文本匹配，支持跨文件、跨模块、跨函数的长链路漏洞追踪。QL 查询语言自定义检测规则QL 是平台核心规则载体，是一种面向代码语义的声明式查询语言，专门适配代码数据库检索场景，替代传统硬编码固定规则库，具备极强扩展性。内置标准规则库：平台预置500 +成熟QL 查询规则，覆盖50余种CWE漏洞类型，包含反序列化、命令注入、文件上传、文件包含、文件下载、SQL注入、缓冲区溢出、整型溢出、空指针解引用等常规漏洞扫描;自定义规则灵活扩展：安全人员可基于 QL 语法编写专属查询语句，针对行业特有框架、业务定制逻辑、新型 0day 漏洞变体构建私有检测规则，无需底层引擎二次开发，仅通过检索语义数据库即可实现专项漏洞挖掘;多维检索能力：QL 语句可精准查询污点传播链路、危险函数调用、不安全参数传递、权限校验缺失等复杂语义场景，完成传统正则、文本匹配无法实现的深度逻辑漏洞挖掘，大幅降低漏报率。基于语义数据库的批量漏洞检索检测执行阶段，平台将用户编写 / 内置的 QL 查询语句下发至语义数据库，对编译后存储的全量代码语义数据进行批量检索匹配：快速定位符合漏洞特征的代码行、函数、文件；完整还原漏洞触发链路(污染源头 Source→风险汇聚点 Sink)；标记漏洞风险等级、影响范围、触发条件，输出原始漏洞清单。该模式充分复用一次性编译建模成果，支持增量扫描、多版本对比扫描，大幅提升重复检测效率。AI 赋能：检测结果智能校验与自动修复QL 检索输出原始漏洞报告后，平台接入代码大模型 AI 能力，完成误报过滤、漏洞真实性校验、自动化补丁生成，解决传统 SAST 工具人工核验成本高、修复指导薄弱的核心痛点。AI 智能校验，大幅降低误报传统静态工具仅依靠规则匹配，极易因业务上下文、框架封装、合法防护逻辑产生大量误报占用大量人力排查成本。WuKongQL 通过 AI 模型对 QL查询检测结果二次研判：辅助判断其是否为真实安全漏洞，并给出详细的分析报告。AI 自动生成漏洞修复方案对于检测到的漏洞，AI 模型会根据漏洞的类型和上下文信息，提供具体的修复方案，如修改相关代码行、引入边界检查、推荐使用安全的库函数替代不安全的函数等。核心产品优势QL 规则高度灵活：摆脱固定规则束缚，支持业务、行业、新型漏洞自定义查询，适配各类定制化审计场景;QL+AI 双引擎互补：QL 保障底层语义分析严谨不漏报，AI 解决人工核验、修复低效难题，兼顾检测深度与落地效率;全研发链路集成：可以集成到Jenkins平台，满足DevOps/DevSecOps平台建设需求;多场景全覆盖：兼容通用业务软件、嵌入式设备、后端服务、前端工程、混合语言项目检测，覆盖软件研发全品类源代码安全审计需求。使用价值前置风险管控：编码阶段即可发现漏洞，相比上线后修复成本降低数十倍，规避上线后安全事件、数据泄露风险;降低安全人力成本：AI 自动过滤误报、生成修复代码，减少安全审计、漏洞整改等人工投入;满足合规审计：标准化漏洞报告、完整漏洞溯源链路，满足多种行业安全检查需求; 持续提升代码安全基线：通过 QL 规则迭代、AI 学习沉淀企业专属安全检测体系，长期降低整体代码漏洞存量。

WuKongQL智能源代码漏洞挖掘平台(简称WuKongQL)是一款基于QL查询语言定义检测规则，并深度融合AI技术进行智能误报校验及缺陷修复的代码安全检测及漏洞挖掘平台，旨在突破传统静态分析工具的固有短板，助力代码安全检测模式从被动漏洞排查，升级为主动安全防御+智能化缺陷修复。工具主要贴合企业两大核心需求：1、针对软件系统源代码开展全方位、高精度的安全检测与漏洞挖掘，输出详实可溯源的缺陷分析报告，清晰标注漏洞危险等级、影响范围与安全风险提示，帮助企业直观把控整体代码安全态势。2、提供全流程迭代化检测修复服务，可无缝嵌入代码提交、项目构建、版本发布全研发链路，实现安全问题“早发现、早校验、早修复”，降低漏洞修复成本，保障软件产品上线安全，同时满足企业合规审计需求。WuKongQL支持Java、C/C++、Python、JavaScript等13种主流编程语言，内置500+预置检测模式，覆盖覆盖约50多种CWE，能够进行代码模式匹配和数据流分析。相较于传统静态分析工具具有以下突出特点：特点一：可扩展的高精度分析架构平台检测过程中可无缝对接第三方高精度分析引擎，依托多引擎协同联动机制，全方位提升漏洞检测精准度与检测覆盖深度。特点二：基于大模型的智能攻击面识别结合大语言模型的代码理解能力，能够针对不同的应用系统自动识别其攻击面，包括外部可访问的API接口、外部可访问文件/数据库接口、用户输入入口、第三方依赖调用点、框架接口等关键风险点，为漏洞挖掘构建完整的系统暴露面。特点三：自定义规则挖掘漏洞工具突破传统静态分析框架的局限性，支持用户通过QL语言自定义漏洞检测规则。允许以查询方式动态扩展检测能力，实现无需定制开发的灵活漏洞挖掘。特点四：AI智能漏洞验证及修复通过集成AI能力，结合自身静态分析引擎，搭建从漏洞核验到自动修复的闭环处理流程，一站式完成漏洞验证与缺陷整改。特点五：DevSecOps全流程无缝集成可无缝嵌入CI/CD流程，在代码提交、构建、发布等环节实现自动化安全检测，落地常态化研发安全管控。 WuKongQL代表了静态分析技术的范式转变，平台通过将代码转换为可查询的数据库，赋予了安全团队更加精确、自动化和可扩展的漏洞发现能力，结合AI能力更加智能，适用于追求高水平软件安全与成熟度 DevSecOps 实践的组织。

近日，行业权威媒体机构嘶吼安全产业研究院正式发布《嘶吼2026网络安全产业图谱》，北京中科天齐信息技术有限公司(以下简称：中科天齐)凭借在应用安全领域的技术实力及产品应用能力入选软件供应链安全——应用安全测试(AST)领域。此次入选体现了对中科天齐技术实力和市场地位的充分认可。《嘶吼2026网络安全产业图谱》旨在全景呈现中国网络安全产业的发展格局，为政企客户的采购决策提供选品指南，为安全厂商的市场拓展提供方向参考。调研团队累计回收有效问卷400余份，经过严格的筛选核实与系统分析，最终呈现出中国网络安全产业最具代表性的核心梯队。报告中指出，2026年AI驱动的工业化网络攻击已从理论走向实战。大模型赋能的攻击工具让威胁行为的规模化、自动化、低成本化成为现实。供应链攻击的复杂性与隐蔽性持续攀升，安全风险不再局限于单一企业边界，而是沿着供应链条快速传导。 中科天齐多年来专注软件程序分析领域，研发软件测试及安全系列产品，坚持自主创新紧跟技术发展。核心产品“WuKong”通过采用自主专利技术的程序分析引擎，多种创新性的静态分析技术，结合深度学习和深度程序分析等多种方法，能够对软件代码缺陷进行全方位的安全扫描和安全分析。结合AI模型调用，可进行误报验证及自动修复。产品专注于排查源代码安全隐患，以自主可控核心技术守住软件供应链中开发安全关口，全方位夯实软件供应链安全根基，赋能各行各业构建稳固可靠的数字化安全生态。

对企业而言，代码安全从来不是“安全团队的小事”，而是关系到业务稳定、数据安全、合规达标甚至品牌声誉的头等大事。很多企业都有这样的困扰：用了传统的代码检测工具(SAST)，却还是频繁出现安全漏洞：要么被海量无效告警折腾得焦头烂额；要么关键漏洞漏检，上线后遭遇数据泄露、业务瘫痪，不仅损失资金，还影响客户信任。而QL安全检测工具，正可以解决这一问题。QL安全检测工具核心是“精准找漏洞、高效修漏洞、低成本控风险”。很多企业都在用传统SAST工具，实际用下来往往会遇到以下几个问题：1.误报太多：传统代码检测工具根据固定规则去匹配，不理解代码实际业务逻辑。安全团队和开发团队要花大量时间排查有关业务逻辑漏洞，耽误研发进度又增加人力成本；2.漏报暗藏风险：功能基础的传统代码检测工具只能查出表面的简单漏洞(比如空指针、硬编码)，对于跨系统、跨模块的复杂漏洞，比如用户信息泄露、权限越权、恶意注入等根本查不出来。这些“隐藏漏洞”一旦上线，很可能引发数据泄露、业务瘫痪，甚至面临合规处罚；3.灵活度差，跟不上业务需求：企业业务不断更新，新的漏洞类型也在不断出现，但传统工具的检测规则是固定的，要等工具厂商更新才能适配，无法快速应对企业自身的业务场景，也跟不上新漏洞的检测需求，相当于“被动防守”，很容易出现防护盲区。对企业来说，代码检测的核心需求很简单：少花时间、少踩坑、守住安全底线。QL安全检测工具特点：1. 工作原理简单QL工具的核心逻辑就3步，不用企业投入大量技术人力：第一步：把代码“整理成数据库”。自动扫描企业所有源码，把零散的代码，整理成一个结构化的“代码数据库”，就像把杂乱的文件整理成分类清晰的文件夹，方便后续精准查找；第二步：“精准提问”找漏洞。使用查询语言告诉工具“要找什么漏洞”，工具就会在数据库里精准排查；排查完成后，不仅会明确“哪里有漏洞”，还会清晰展示“漏洞是怎么产生的、会有什么风险、怎么修复”，标出完整的漏洞传播路径，开发团队照着做就能快速修复。2. 核心优势误报少省人力：能精准识别代码逻辑，过滤更多的无效告警，安全团队不用再被假告警困扰，能把精力放在真正的风险上；漏报少更安全：能查出传统工具看不到的复杂漏洞(比如权限越权、数据篡改、恶意注入等)，从根源上减少安全隐患，避免上线后出问题；灵活适配，跟得上业务：企业可以根据自己的业务场景，自定义检测规则，不管是新出现的漏洞，还是专属业务的特殊需求，都能快速适配，不用等厂商更新；修复高效，节省时间：给出的漏洞报告清晰易懂，有完整的修复指引，开发团队不用花大量时间定位问题，不耽误业务上线进度。最优方案：QL+传统SAST结合，既高效又安全QL工具和传统代码检测工具不是“二选一”的关系，而是“强强联合”，既能保证研发效率，又能守住安全底线。QL+传统SAST结合分工明确、高效协同：1. 快速检测：用传统SAST工具，在代码提交、日常开发阶段，快速扫描简单规则规范等漏洞，快速出结果，不耽误研发迭代速度，低成本拦截基础风险；2. 深度检测：用QL工具重点排查复杂漏洞、深层隐患，尤其是支付、用户认证、数据存储等高风险模块，确保上线后零致命漏洞；3. 协同增效，降本提效：传统工具查出的疑似漏洞，用QL工具快速验证，自动过滤误报;传统工具标记出高风险代码，QL工具重点深度扫描，节省检测时间，让安全和研发高效配合。选择SAST+QL安全检测，企业能获得什么?1. 把控风险：杜绝致命漏洞上线，避免数据泄露、业务瘫痪、合规处罚，守护企业品牌声誉；2. 节省成本：减少无效告警带来的人力消耗，提升修复效率，降低安全运维成本；3. 提高效率：不耽误研发迭代，实现“安全不拖慢业务”，兼顾安全与效率；4. 容易落地：操作简单，不用投入大量技术人员，适配企业现有研发流程，快速上手使用。对企业而言，代码检测的最终目的，不是“用了什么高端工具”，而是“能不能守住安全底线、能不能少花冤枉钱、能不能不耽误业务”。 传统SAST工具解决了“有没有安全检测”的问题，而QL安全检测工具，解决了“检测准不准、效率高不高、能不能适配业务”的核心痛点。把两者结合起来，既能快速拦截基础风险，又能深挖深层隐患，让代码安全真正做到“防患于未然”。

DevSecOps高速发展，代码安全检测已成为研发全流程中不可或缺的核心环节。从传统静态代码分析工具(SAST)的规则化扫描，到大型语言模型(LLM)的语义化推理，代码检测技术始终在追求“精准、高效、全面”的目标。目前出现很多结合AI和传统分析工具的新技术，通过整合各类工具核心优势，构建代码安全检测新范式，解决行业长期存在的痛点。传统静态代码分析工具：传统SAST工具核心优势在于基于预设规则的精准扫描，误报率相对较低，且能快速适配主流开发语言，集成于CI/CD流水线实现自动化检测。工具的局限性：1、依赖人工编写规则，规则库更新难以迅速跟上新型漏洞;2、采用模式匹配机制，对漏洞变种、复杂上下文依赖的漏洞识别能力薄弱，漏报率较高;3、难以发现业务逻辑漏洞，对于“看似危险却实际安全”的代码(如日志打印中的用户输入)，容易产生无效告警，或遗漏“看似安全却存在隐患”的隐蔽漏洞。纯AI代码检测工具：随着大语言模型的崛起，纯AI代码检测工具凭借强大的语义理解与上下文推理能力，成为行业新热点。这类工具的核心优势的是无需预设规则，能从海量代码与漏洞样本中学习漏洞本质特征，快速识别跨文件、跨函数的复杂漏洞，甚至能发现传统工具无法覆盖的漏洞变种。纯AI工具的局限性：1、误报率较高，部分模型因“幻觉”问题，会虚构不存在的漏洞，或误判安全代码为漏洞;2、漏洞定位精度不足，无法精准标注漏洞所在的行和列，给开发者排查带来不便;3、缺乏严谨的逻辑验证，对于复杂的数据流、控制流漏洞，仅能基于语义推理给出判断，无法通过技术手段验证漏洞的可利用性，可靠性不足。QL类语义分析工具：以CodeQL为代表的QL语言工具，是当前语义分析领域的标杆。其核心优势在于将代码转化为结构化数据库(AST、控制流、数据流)，通过声明式查询实现对漏洞的精准定位，支持污点追踪技术，能清晰识别数据从“源头(Source)”到“汇聚点(Sink)”的完整路径，从根本上提升漏洞检测的精准度。CodeQL作为GitHub旗下工具，支持自定义查询，能适配Java、C/C++、Python等主流语言，在专业安全审计中应用广泛。QL工具的局限性：1、门槛极高，需安全专家手动编写复杂的QL查询语句，普通开发者难以掌握;2、规则覆盖有限，手动编写的查询无法快速适配新型漏洞，且对小众语言、框架的支持不足;AI+QL融合工具AI与QL的深度融合，本质是“AI补QL的灵活与效率，QL补AI的精准与严谨”，通过整合三类工具的核心优势，构建出全流程自动化、高精度、广覆盖的代码检测体系。其中，QL提供“精准的逻辑骨架”，负责深度语义分析与漏洞验证;AI能够发现业务逻辑问题，并负责规则生成、语义理解与误报过滤。AI+QL的协同优势AI与QL的融合，整合了传统静态工具、纯AI工具与QL工具的核心优势：1. 精度提升：AI发现业务逻辑漏洞、漏洞变种与新型漏洞;QL提升精准度，过滤误报，确保结果可靠。2. 全流程自动化：从AI生成QL查询、QL执行扫描，到AI验证漏洞、过滤误报、生成修复建议，形成完整的自动化闭环，大幅降低人工投入，提升检测效率。3. 门槛降低：支持自然语言交互，开发者无需学习QL语法，只需用中文/英文描述漏洞需求(如“查找SQL注入”)，AI即可自动转化为QL查询并执行，实现安全能力平民化。4. 可扩展性强：兼容主流LLM与QL工具(CodeQL)，支持多模型协同，可根据项目需求灵活调整，适配不同规模、不同语言的代码库。 5. 持续进化：AI可从CVE库、历史检测数据、社区知识中持续学习，自动优化QL查询质量;QL则可通过AI的建模能力，不断扩展语言与漏洞覆盖范围，形成持续进化的检测能力。

根据Gartner最新研究，人工智能、地缘政治紧张局势和监管不确定性将成为影响网络安全格局的核心驱动因素。面对持续紧张的网络安全态势，企业决策者需要重点关注以下六大趋势：趋势1 自主AI催生新型安全监控需求随着员工和开发者广泛采用AI Agent，新的攻击面正在形成。无代码/低代码平台和氛围编程(Vibe-Coding)的普及加速了自主AI的失控扩散，导致不安全代码激增和潜在合规风险。Gartner分析师Alex Michaels强调："企业必须建立严格的治理体系，既要识别已授权和未授权的AI Agent，还需制定事件响应预案，通过双重管控机制化解潜在风险。"趋势2 全球监管波动推动网络弹性建设地缘政治格局演变与全球法规更新使网络安全成为直接影响组织韧性的关键业务风险。监管机构正加大对董事会和高管的追责力度，合规缺失可能导致巨额罚款、业务损失及不可逆的声誉损害。Gartner建议企业通过法律、业务与采购团队的协同，构建符合国际标准的控制框架，并重点解决数据主权问题以消除合规盲区。趋势3 后量子密码学进入实施阶段Gartner预测，量子计算的突破将在2030年前使现行非对称加密体系失效。为防范"现在窃取，未来解密"型攻击导致的数据泄露与法律责任，企业需立即启动后量子密码迁移计划。分析师指出："后量子密码重构了安全战略，要求企业在确保密码敏捷性的前提下，系统性地识别、管理和替换传统加密方案。提前布局才能在未来量子威胁成为现实时保障资产安全。"趋势4 IAM体系适配AI Agent新常态AI Agent的崛起对传统身份与访问管理(IAM)体系提出三重挑战：机器实体身份注册、凭证自动化发放及策略驱动的访问授权。随着自主Agent普及，若未建立针对性管控机制，访问相关安全事件风险将显著攀升。Gartner建议采用风险导向的精准投资策略，通过自动化手段填补高危缺口，在保障合规的同时守护AI环境中的关键资源。趋势5 AI驱动型SOC重构运营范式成本压力与AI热潮推动安全运营中心(SOC)智能化转型，但AI工具的引入也带来人员短缺、技能升级和成本结构变化等新挑战。Gartner强调："释放AI在安全运营中的价值需要人技并重，通过员工能力建设、人机协同框架实施和战略目标校准，维持SOC演进过程中的运营韧性。"趋势6 生成式AI颠覆传统安全意识教育Gartner调研显示，现有安全教育措施难以应对GenAI快速普及带来的风险。2025年5-11月对175名员工的调查表明，57%受访者使用个人GenAI账户处理工作，33%承认向未授权工具输入敏感信息。分析师建议转向包含AI专项任务的适应性培训计划："通过强化治理、固化安全实践和明确使用政策，可有效降低数据泄露与知识产权流失风险。"

OWASP于11月6日发布的更新是自 2021 年以来的首次重大前10榜单更新，其显著特点在于强调供应链风险和系统性设计缺陷，而不仅仅是常见的软件编码错误。对于防御者而言，关键要点在于需要将应用安全、软件供应链监督和运营韧性实践更紧密地结合在一起。安全风险的真实本质Keeper Security 的首席信息安全官 Shane Barney 表示："2025 年 OWASP 十大榜单突显了行业在理解风险真实本质方面取得的巨大进步。这不再仅仅是修补漏洞，而是要认识到漏洞往往源于我们系统的复杂性和技术发展的速度。安全团队不再只是追查缺陷，而是在管理那些导致缺陷形成的条件。"OWASP 根据社区反馈以及对约 22 万个 CVE(映射到 589 个通用缺陷枚举标识符)相关数据的分析汇编了这份更新后的清单，而 2021 年时仅涉及 400 个 CWE。CWE 是特定类型或类别软件或硬件漏洞的标识符。OWASP 清单中两个最重大的变化是引入了新的"异常情况处理不当"类别，并将 2021 年的"易受攻击和过时组件"类别重新分类和定义为更广泛的"软件供应链故障"类别。基于社区反馈(绝大多数将其视为首要关注点)，OWASP 将供应链类别列在十大榜单的第三位。OWASP 在最新的十大榜单中表示："该类别包含 5 个 CWE，在收集的数据中存在有限，但我们认为这是由于测试方面的挑战，希望测试能在这方面跟上。该类别在数据中出现次数最少，但 CVE 的平均利用率和影响得分最高。"异常情况处理不当在 OWASP 榜单中排名第十，涵盖了与错误处理、逻辑缺陷以及其他与系统异常状况相关场景有关的安全问题。安全配置错误从之前的第五位上升三位，在新榜单中位列第二，因为其作为安全漏洞来源已变得更为普遍。在 OWASP 分析的近 280 万个应用程序中，有 3% 的应用程序存在该类别中 16 个常见 CWE 中的一个或多个。OWASP 表示："这并不令人意外，因为软件工程正在持续增加基于配置的应用程序行为数量。"与 2021 年相比，OWASP 在新榜单中将加密失败、注入和不安全设计的排名降低了，这反映了许多组织在解决这些问题方面取得的改进。其余类别——身份验证失败、软件或数据完整性失败以及日志记录和警报失败——分别保持了之前第七、第八和第九的位置。安全故障不仅仅是编码错误本次更新的一个最大要点是 OWASP 认识到，安全故障不仅源于单个软件缺陷，而且更多是源于软件生命周期中固有的弱点，包括开发流程、云配置和供应链依赖关系。总的来说，OWASP 的 2025 年榜单将安全描绘成一个设计、实施和运营的连续体，而非代码的静态快照。业界更广泛地认识到需要解决安全故障的根本原因，而不仅仅是症状。Barney 补充说，对于安全领导者而言，这份清单强化了一个事实，即预防和韧性必须齐头并进。它反映了安全如何从一次性项目或合规性检查项演变为一个持续的过程，内置到设计和部署的每个阶段。"更新后的 OWASP 框架提醒我们，我们的防御能力取决于我们工程的一致性、我们流程的清晰度以及我们团队的纪律性"他说。OWASP 的修订强调了许多漏洞源于 inherited 的弱点，例如易受攻击的开源组件、过时的加密库或不安全的默认设置，而非新颖的攻击手段。通过明确指出供应链和设计阶段的问题，OWASP 旨在强调深度防御的必要性。对于防御者而言，关键信息是确保从代码仓库到 CI/CD 流水线，再到这些弱点实际显现的生产环境，整个过程中的可见性。OWASP Top 10：2025 简介A01：2025 - 访问控制损坏A02：2025 - 安全配置错误A03：2025 - 软件供应链故障A04：2025 - 加密故障A05：2025 - 注入A06：2025 - 不安全设计A07：2025 - 身份验证失败A08：2025 - 软件或数据完整性故障A09：2025 - 日志记录和警报故障A10：2025 - 异常情况处理不当A01：2025 - 访问控制破坏保持其榜首的位置，成为最严重的应用程序安全风险。贡献的数据表明，平均有 3.73% 的受测应用存在此类别下 40 个通用缺陷枚举中的一个或多个。如上图中虚线所示，服务器端请求伪造已被纳入此类别。A02：2025 - 安全配置错误从 2021 年的第5位上升到 2025 年的第2位。在本周期的数据中，配置错误更为普遍。有 3.00% 的受测应用存在此类别下 16 个 CWE 中的一个或多个。这并不令人意外，因为软件工程正在持续增加基于配置的应用程序行为数量。A03：2025 - 软件供应链故障是 A06：2021 - 易受攻击和过时的组件的扩展，包括在软件依赖项、构建系统和分发基础设施的整个生态系统内或整个生态系统中发生的更广泛的安全入侵。此类别在社区调查中被绝大多数投票者列为重点关注项。该类别包含 5 个 CWE，在收集的数据中存在有限，但我们认为这是由于测试方面的挑战，并希望测试能在这方面跟上。该类别在数据中出现次数最少，但 CVE 的平均利用率和影响得分最高。A04：2025 - 加密故障 在排名中下降2位，从第2下降了两位至第4。贡献的数据表明，平均有 3.80% 的应用存在此类别下 32 个 CWE 中的一个或多个。此类别通常导致敏感数据泄露或系统被攻陷。A05：2025 - 注入 排名下降2位，在排名中从第3下降到#第5，保持了相对于加密失败和不安全设计的位置。注入是被测试最多的类别之一，与此类别下 38 个 CWE 相关的 CVE 数量也最多。注入包括从跨站脚本(高频/低影响)到 SQL 注入(低频/高影响)漏洞等一系列问题。A06：2025 - 不安全设计 排名下降2位，在排名中从第4滑落到第6，因为“安全配置错误”和“软件供应链故障”超越了它。此类别于 2021 年推出，我们已经看到行业在威胁建模方面取得了显著改进，并更加重视安全设计。A07：2025 - 身份验证失败保持在第7的位置，但名称略有更改(以前是“识别和身份验证失败”)，以更准确地反映此类别中的 36 个 CWE。这一类别仍然很重要，但标准化身份验证框架的日益广泛使用，似乎对减少身份验证失败的发生产生了积极影响。A08：2025 - 软件或数据完整性故障 继续在列表第8位。此类别侧重于未能维护信任边界以及未能验证软件、代码和数据制品的完整性，其层级低于软件供应链故障。A09：2025 - 日志记录和警报故障 保持在第9的位置。此类别的名称略有更改(以前称为“安全日志记录和监视故障”)，以强调对相关日志记录事件采取适当作所需的警报功能的重要性。仅有完善的日志记录而没有警报功能，在识别安全事件方面价值有限。此类别在数据中的代表性始终不足，但再次被社区调查参与者投票选入榜单。A10：2025 - 异常情况处理不当 是 2025 年新增的类别。此类别包含 24 个 CWE，主要关注不当的错误处理、逻辑错误、失败开放以及其他由系统可能遇到的异常情况引发的相关场景。 https://owasp.org/Top10/2025/0x00_2025-Introduction/ 

近日，数说安全发布《2025年中国网络安全市场全景图》(以下简称“全景图”)。中科天齐凭借在程序分析领域突出的自主创新能力和持续研发投入，成功入选“开发安全-静态应用安全测试(SAST)”细分领域，彰显了公司在软件安全关键技术领域的领先实力与行业影响力。作为国内权威的网络安全研究机构，数说安全采用较为严格的录入标准，在完成对基础资质与市场活跃度的核验后，还对企业经营稳健性与可持续发展能力进行多项评估，力求收录那些已经过实际场景检验、具备一定市场份额，并能保持持续研发投入与自主创新动力的品牌。为网络安全主管部门、行业从业者、产品与服务使用及采购单位，以及资本机构提供更可信、更具参考价值的结构化信息。 中科天齐多年来始终专注于提升我国软件安全技术能力与服务水准，依托在程序分析领域深厚的技术积累，不断推进产品迭代与技术创新。公司始终坚持高强度研发投入，已构建起完善的自主知识产权体系，目前已获软著百余项，并在多个行业实践中积累了丰富的成功案例。未来，中科天齐将继续强化技术攻关与自主研发战略，以创新为驱动，助力企业构建更安全、可靠的软件基础，为网络安全产业的可持续发展注入持续动能。

2025年6月23-27日，第33届ACM软件工程基础国际会议(FSE 2025)在挪威特隆赫姆举办。FSE是软件工程领域国际顶级会议，是中国计算机学会(CCF)推荐的A类国际会议。中科天齐团队成员曹立庆博士前往参会，并在会上展示了题为“VulPA: Detecting Semantically Recurring Vulnerabilities with Multiobject Typestate Analysis”(基于多对象类型状态分析检测语义重复漏洞)的研究成果。会场留影语义重复漏洞在现实软件系统中广泛存在，往往具有相似的根本成因。然而，由于其在语法和语义层面的多样性变化，以及涉及多个变量的控制流和数据流交互，现有检测方法在系统化表达与分析此类漏洞方面存在明显局限。针对这一问题，该研究提出了VulPA——一种创新的基于多对象类型状态分析的漏洞检测框架。VulPA能有效地识别漏洞模式中涉及多个对象的控制依赖与数据依赖关系，从而实现对语义重复漏洞的精准检测。该方法主要包括两个核心步骤：1. 漏洞模式建模研究团队设计了漏洞模式描述语言(VPDL)，以代码风格的语法形式精确表达变量之间的依赖关系及漏洞触发条件，从根因层面抽象并统一描述语义重复漏洞的特征。2. 多对象类型状态分析引擎在Heros IFDS框架基础上，VulPA实现在过程间追踪多个变量的类型状态变化。结合VPDL 所定义的漏洞模式，VulPA能实现精准检测到具有漏洞的程序路径，自动发现潜在的漏洞点。在实验评估中，研究团队基于34个CVE案例构建了检测规则，在其对应的26个开源Java应用上进行了测试。VulPA成功发现了90个新漏洞，在保持23.7%的误报率的同时，显著优于现有主流漏洞检测工具，显示出其在语义复杂漏洞检测领域的强大能力与广泛应用潜力。 ACM国际软件工程基础会议(FSE)是一个国际知名的会议，旨在展示和讨论软件工程领域的最新创新、趋势、经验和挑战。FSE涵盖广泛的软件工程主题，包括但不限于软件开发、软件测试、软件维护、软件安全、人工智能驱动的软件工程等。FSE 2025共收到612篇投稿，最终接收135篇，总接收率22.2%。