随着开发团队将安全检查提前到软件开发生命周期（SDLC）的早期阶段（安全左移），开发者们已经成为抵御漏洞的第一道防线。在2023年GitHub的一项调查中，32%的开发者时间用于编写代码，31%的时间用于发现和修复安全漏洞。

然而，遗憾的是，这种“左移”策略更多是将安全实践的责任推给了开发者，而非真正带来好处。

安全左移现状

许多开发者在进行安全审查时，常常被迫使用不够定制的工具，这些工具无法根据业务场景做出有效分析，导致误报和漏报频繁出现，极大地影响了他们发现和解决安全漏洞的效率。同时，大部分开发者的首要任务依然是编写和审查代码。但在“安全左移”政策下，他们还被要求在日常开发中参与漏洞审查、修复和理解安全问题，这无疑给他们的工作负担增加了压力，甚至影响了开发效率。

开发安全的趋势与挑战

根据Gartner的预测，到2028年，75%的企业软件工程师将依赖AI编码助手进行工作。这意味着，随着开发者利用GitHub Copilot等AI工具提高生产力，生成的代码量也将大幅增加，随之而来的是需要审查的代码量急剧上升。安全专家面临的压力也与日俱增。通常，在每100名开发者中，只有一名安全专家负责确保代码的安全性，并制定、执行相关的安全政策，这项工作压力非常大。根据ISC2（国际信息系统安全认证联盟）2023年的调查，全球对安全专家的需求已经增加了400万个职位。而通过AI场景应用创新也能够为安全团队提供强有力的支持，帮助他们扩展专业知识和能力，缓解部分压力。

为了应对这些挑战，GitHub推出了结合Copilot和CodeQL的AI功能，通过生成修复建议来帮助开发者更高效地修复漏洞。然而，尽管GitHub Copilot + Codeql的组合在开发安全实践上取的了不错成果，但其在实际应用场景中还存在各类局限性问题。

Copilot + CodeQL的优势与局限

GitHub Copilot通过与CodeQL等SAST工具的结合，为开发者提供了自动修复漏洞的能力，尤其是在代码提交或Pull Request中，开发者能够直接获得AI生成的修复建议，极大地提高了安全检测的效率。

然而，CodeQL的使用协议中明确禁止其在企业的CI/CD流水线中部署，这意味着在企业级的开发环境中，Copilot + CodeQL的组合并不能真正嵌入到企业的开发流程中，导致了其在生产环境中的应用受到限制。而且，Copilot和CodeQL依赖于预设规则，这使得它们在处理企业内部业务场景时缺乏定制化能力，容易出现误报和漏报的情况。

Secidea

海云安认为落实安全左移不是给开发者增加负担

应该是帮助开发者减负

海云安结合了多年开发安全经验与深度的AI能力，打造了一套针对企业与开发者需求的安全左移解决方案：“开发者智能助手（D10）”。它不仅仅是一个工具，也是开发者agent，通过AI的上下文理解、即写即测和自动修复，帮助开发者减轻负担，提高开发效率，实现编码到漏洞检测到修复的闭环。

D10的优势：

专为企业级需求打造的AI驱动SAST工具

D10不仅解决了Copilot + CodeQL的局限，还提供了更强的安全合规性与稳定性，特别适用于需要高度定制化和安全合规的企业环境。

完全兼容企业CI/CD流程

与CodeQL的限制不同，D10可以完全嵌入企业的CI/CD流水线，不仅支持多语言环境，还可以实时扫描代码，自动发现并修复安全漏洞。这种无缝集成提升了企业开发团队的效率，减少了因漏洞修复而中断开发进度的情况。

更好的上下文理解

D10通过**RAG（检索增强生成）**技术，能够根据企业内部的业务需求和代码库，定制化检测规则。它不仅支持标准漏洞检测，还能够结合业务逻辑进行深度的代码分析，提供精准的修复方案，避免传统SAST工具中的误报和漏报问题。

符合国内安全合规要求

在国内的安全合规环境下，Copilot和CodeQL的使用存在数据隐私和政策风险，因为它们需要依赖于云端处理，可能会泄露关键的业务代码信息。与此不同，D10的部署模式完全符合国内的安全政策要求，确保数据不会泄露，并且支持本地化部署，避免因政策变动导致的产品不可用。

AI驱动的漏洞一键修复

D10不仅能够发现安全漏洞，还能够自动生成个性化的修复方案，并提供一键插入、替换和修复功能。这种基于上下文的自动修复能力，使得开发者能够更加高效地处理安全问题，减少人为操作失误，提升安全性和合规性。局限性对比

为什么D10更适合企业环境？

安全和隐私保障

Copilot和CodeQL通过云端处理，可能会涉及到代码泄露的风险。D10采用本地私有部署，完全符合国内数据安全和合规要求，确保开发者的业务代码始终处于受保护的环境中。

符合企业需求的定制化能力

D10深度学习行业内外的业务场景，能够自动生成适配企业特定业务逻辑的检测规则和修复建议，避免了Copilot + CodeQL对业务场景的理解不足带来的误报漏报。

无缝集成，提升开发效率

D10完美契合企业的CI/CD流水线，自动化集成漏洞检测与修复，开发者无需离开工作环境，即可获得实时的安全反馈，减少了安全审查的负担。

全面提升开发与安全双重效能

D10将安全检测与修复过程无缝嵌入到软件开发生命周期中，不仅提升了代码安全性，还显著提高了开发效率。开发者可以专注于业务功能的实现，而不必担心复杂的安全漏洞修复工作。

总结：D10真正解决了安全左移局限性问题

虽然GitHub Copilot + CodeQL在一定程度上帮助开发者提高了编码效率和漏洞修复能力，但在企业级安全合规和定制化需求方面仍有较大局限。而D10凭借其全面的AI驱动功能、安全合规保障以及深度的业务场景定制能力，成为了更适合企业开发团队的理想选择。对于那些在合规性、安全性和开发效率上有较高要求的企业，D10无疑是一个更加强大、稳定且符合国内法规的解决方案。

海云安

深圳海云安网络安全技术有限公司成立于2015年，是深圳国资参股投资的专注于应用安全领域的创新型国家高新技术企业。公司以“安全每一行代码”为己任，致力于“可信应用，主动防御”系列应用安全产品研发推广，长期为金融、政府、企事业单位提供安全开发、APP安全、数据安全等全面解决方案。