Capital One відкриває код VulnHunter для автоматичного пошуку та виправлення вразливостей
Capital One випустила VulnHunter — відкритий інструмент безпеки коду на базі Claude Opus 4.8. Він працює як навичка Claude Code, симулюючи дії зловмисника для виявлення та автовиправлення вразливостей без хибних тривог.
Вплив: Середній
Чому це важливо
Тепер ви можете запускати проактивне агентне тестування та автоматичне виправлення безпеки прямо у вашому локальному терміналі через Claude Code.
TL;DR
- 01VulnHunter переводить сканування вразливостей від пасивного зіставлення шаблонів до активного моделювання шляху атаки.
- 02Вбудований механізм самоспростування зменшує навантаження на розробника, відсіюючи гіпотетичні знахідки.
- 03Інструмент вимагає моделі Claude Opus 4.8 та працює як кастомна навичка всередині локального CLI-клієнта Claude Code.
Ключові факти
- Підтримувана модель
- Claude Opus 4.8
- Інтеграція в середовище
- Навичка Claude Code
- Автор
- Capital One
Агентний аудит, орієнтований на розробника
Традиційні інструменти статичного аналізу безпеки аналізують шаблони коду ізольовано, що призводить до втоми розробників від нескінченних попереджень. VulnHunter розроблений як інструмент для розробників, що запускається локально як розширення (skill) у середовищі Claude Code. Працюючи з точки зору зловмисника, він відстежує шляхи введення даних від ненадійних джерел до внутрішніх приймачів даних. Це мінімізує тертя у процесах, переносячи фокус розробника з сортування помилкових тривог на виконання перевірених виправлень коду.
Цикл міркувань для спростування знахідок
Головною внутрішньою інновацією інструменту є автоматизований механізм спростування (falsification engine). На відміну від простих ШІ-обгорток для сканування безпеки, VulnHunter використовує модель Claude Opus 4.8 для виконання структурованого багатокрокового процесу міркувань з метою спростування власних висновків. Він шукає відсутні логічні ланки, етапи санітизації даних або обмеження середовища виконання, які завадили б успішній атаці. Якщо виявляється причина, чому експлойт не спрацює, попередження відкидається. Лише високодостовірні вразливості доходять до фінального звіту розробнику.
Вимоги та початок роботи
Для використання VulnHunter розробникам потрібен доступ до моделі Claude Opus 4.8 та налаштоване середовище інтерфейсу командного рядка (CLI) Claude Code. Інструмент доступний як відкритий репозиторій на GitHub в організації Capital One. Репозиторій містить покрокові інструкції, архітектурні схеми та приклади робочих процесів, які показують, як інструмент будує карти шляхів експлуатації та форматує код виправлень безпосередньо для інженерних пул-реквестів.
Спробуй за 2 хвилини
# Clone the repository and review the configuration within Claude Code
git clone https://github.com/capitalone/vulnhunter.git
cd vulnhunterbash
✓ Коли використовувати
- Коли ви хочете виявити складні логічні ланцюжки експлуатації вразливостей перед злиттям коду в гілку main.
- Коли ви вже активно використовуєте Claude Code як основний термінальний інструмент розробки.
- Коли вам потрібні перевірені, готові до впровадження виправлення коду замість сотень неперевірених попереджень SAST.
✕ Коли НЕ варто
- Коли у вас немає активного доступу до Claude Opus 4.8 або термінального клієнта Claude Code.
- Коли корпоративні політики безпеки повністю забороняють передачу фрагментів коду до зовнішніх API LLM.
Що зробити сьогодні
- Клонуйте відкритий репозиторій VulnHunter з GitHub.
- Переконайтеся, що ваше локальне середовище терміналу Claude Code оновлене та налаштоване.
- Ознайомтеся з посібником швидкого старту та протестуйте роботу безпекового агента на тестовій кінцевій точці API.
Що каже спільнота
“Wasn't Capital One founded on the premise of massive-scale market and product experimentation? Makes sense that they would design tools that match that approach.”
“An end product to justify the Billions spent on AI”
Джерела