Čtyři AI nástroje pro řešení zranitelnosti ve zdrojovém kódu

Všechny čtyři stojí na stejné myšlence: model si přečte repozitář, udělá si představu o tom, co ta aplikace dělá a kudy se do ní dá vlézt, pak zkusí nález ověřit spuštěním a nakonec napíše opravu, kterou schválí člověk. Klasické SAST nástroje, tedy statická analýza kódu, hledají známé vzory podle pravidel. Tahle generace se snaží kódu porozumět.

Proč všichni najednou? Odpověď je nepříjemně přímočará. Agentní nástroje chrlí kód rychleji, než ho kdokoli stíhá číst, a vývojářské týmy v tom zůstaly samy. Lék tedy prodává týž výrobce jako nemoc. Nechám na vás, jestli je to podnikatelská prozíravost, nebo trapas 😇

Projdu je od toho nejzralejšího a nejsnáz dostupného po ten, ke kterému se běžný vývojář nedostane.

Anthropic: plugin claude-security

Plugin do Claude Code z 22. července spustí multiagentní sken repozitáře přímo ve vašem sezení v terminálu. Anthropic ho staví jako hloubkovou vrstvu, po které saháte před vydáním verze nebo když zdědíte cizí kód. Nad ním sedí řízená služba Claude Security pro Enterprise, která hlídá připojené repozitáře průběžně. Plugin má oproti ní jednu výhodu: doleze i na GitLab, Bitbucket nebo do sítě, do které nevede příchozí spojení.

Instalace jsou dva příkazy:

/plugin install claude-security@claude-plugins-official
/reload-plugins

Když Claude Code hlásí, že marketplace nezná, předřaďte /plugin marketplace add anthropics/claude-plugins-official. Budete potřebovat placený plán, Claude Code 2.1.154 nebo novější, zapnuté dynamic workflows v /config (na plánu Pro ručně), Python 3.9.6 na PATH jako python3 a Git. Python si nic nedoinstalovává, plugin vystačí se standardní knihovnou.

Přibude jediný příkaz /claude-security se třemi úlohami: sken celého repozitáře nebo jeho výseče, sken změn (diff větve, otevřený pull request, jeden commit) a návrh záplat. Můžete se vyjádřit i lidsky, třeba „scan commit abc1234”. Skenují se jenom commitnuté změny, takže rozdělanou práci nejdřív commitněte nebo stashněte.

Výsledek přistane v adresáři CLAUDE-SECURITY-<timestamp>/ a jsou v něm tři soubory. RESULTS.md je zpráva pro člověka, kde každý nález nese identifikátor (F1, F2), závažnost, míru jistoty, CWE, přesný řádek, scénář zneužití a doporučení. RESULTS.jsonl je totéž strojově, jeden JSON na řádek. REVISION-<commit>.json je razítko: který commit se skenoval, s jakým úsilím, kolik nálezů které závažnosti a jak důkladně se ověřovalo. Adresář si nese vlastní .gitignore, aby ho nedopatřený git add nesmetl do commitu. Chcete-li zprávu v historii kvůli auditu, ten jeden soubor smažete.

A teď to, co mě na celé čtveřici zaujalo nejvíc. Sken má šest fází a nález se do zprávy nedostane jenom proto, že ho někdo našel. Každý kandidát jde před panel tří nezávislých verifikátorů, kde každý zkoumá jednu věc: dosažitelnost, dopad, obranu. Vrací strukturovaný verdikt s konkrétním souborem a řádkem. Kvórum jsou dva ze tří. Jednomyslný panel dovolí nálezu deklarovat vysokou jistotu, těsné kvórum ho stropuje na střední. Sčítání hlasů dělá Python v rendereru zprávy. Model, který nálezy vyprodukoval, si o vlastní důkladnosti netvrdí vůbec nic. Zpráva tak o sobě říká něco, co si můžete zkontrolovat, což mi po letech vendorských grafů připadá skoro dojemné.

Záplaty vznikají ve scratch klonu, vaše pracovní kopie zůstane netknutá. Nezávislý agent pak diff prohlédne, pustí testy projektu a musí odsouhlasit tři věci: záplata řeší ten jeden nález, nezavádí novou díru a jinak nemění chování. Když si tím jistý není, dostanete krátké vysvětlení proč. Soubory .patch leží v podadresáři patches/ a aplikujete si je sami:

git apply CLAUDE-SECURITY-<timestamp>/patches/F1.patch

Háček? Sken běží ve vašem sezení pod vašimi právy a sám o sobě nepřidává žádnou izolaci. Nastavení v .claude/, hooks i CLAUDE.md z repozitáře pořád platí, takže na cizí kód, kterému nevěříte, doporučuje Anthropic sandbox-runtime. Dokumentace taky rovnou přiznává, že skeny jsou nedeterministické a dva běhy nad stejným kódem najdou jiné věci. Cena se počítá proti limitům vašeho plánu, což u velkého repozitáře znamená pořádný ukrojený díl. A drobnost pro ty, kdo jedou na Fable 5: kyberbezpečnostní klasifikátory některé kroky skenu zablokují a shodí je na Opus.

OpenAI: Codex Security

Codex Security je pokračování projektu Aardvark, agentního bezpečnostního výzkumníka, kterého OpenAI ukázala v říjnu 2025 v privátní betě. Po přejmenování a research preview přišel 28. července otevřený klient: CLI a TypeScript SDK pod licencí Apache-2.0, na npm jako @openai/codex-security, verze 0.1.1, ESM-only. OpenAI podle vlastního vyjádření vydala potichu a Hacker News to našel dřív, než firma stihla oznámení.

Tady chci být přesný, protože slovo „open source” se v roce 2026 nosí volně. Otevřený je klient. Vlastní analýza běží v cloudu OpenAI jako research preview pro zákazníky ChatGPT Pro, Business, Enterprise a Edu. Bez přihlášení nebo API klíče vám CLI ukáže maximálně nápovědu.

npm install @openai/codex-security
npx codex-security login
npx codex-security scan /path/to/repo

Potřebujete Node.js 22 a pro skenování a export Python 3.10, u kterého ještě doinstalujete balíček tomli. Běží to na macOS, Linuxu i Windows. Na bezhlavém stroji použijete login --device-auth, do CI nastavíte OPENAI_API_KEY nebo CODEX_API_KEY.

Přepínačů je slušná zásoba. --path zúží sken na část stromu, --diff origin/main prohlédne jenom změny proti větvi, --knowledge-base přidá vaše vlastní threat modely a architekturní dokumenty (prochází rekurzivně Markdown, text, PDF i .docx) a --fail-on-severity high shodí běh v CI, když se najde něco vážného. Export umí SARIF, CSV i JSON, SARIF se ukládá do <scan-dir>/exports/results.sarif. Návratové kódy jsou 0 pro čistý běh, 1 pro porušení politiky, 2 pro neúplné pokrytí nebo chybu, 130 pro přerušení a 143 pro ukončení.

Užitečný je install-hook, který přidá pre-commit kontrolu staged i unstaged změn, respektuje core.hooksPath a existující hook nepřepíše. A bulk-scan, jenž se přes přihlášené gh CLI podívá po vašich repozitářích pushnutých za posledních 90 dní, vyloučí archivované a forky, nechá vás vybrat a pak je projede. Pro automatizaci mu podstrčíte CSV se sloupci id, repository a plnou neměnnou revision.

Sledování nálezů v čase má OpenAI propracovanější než konkurence. scans list a scans show ukážou historii, scans rerunzopakuje stejnou konfiguraci nad aktuálním stavem, scans match propojí nálezy se stejnou příčinou mezi dvěma běhy a scans compare z toho udělá přehled nových, přetrvávajících, znovuotevřených, vyřešených a neznámých položek. Historie leží v databázi pod $CODEX_HOME/state/plugins/codex-security.

Výchozí model je gpt-5.6-sol s extra-high reasoning effort, pokud americká vláda neřekne jinak. Přepnout se dá na gpt-5.6-terra a jemněji přes --codex 'model_reasoning_effort="high"'.

Jedno varování berte vážně. Výstupní adresář musí ležet mimo skenovaný strom a mimo obalující Git worktree, na Unixu s právy 700. Artefakty totiž obsahují úryvky zdrojáku, popisy zranitelností a reprodukční kroky. Jsou to hotové návody, jak vás rozbít. Držte je mimo repozitáře a hlavně mimo veřejné issue.

Přiložený Docker Compose je poučné čtení. Shazuje všechny linuxové capabilities, zakazuje eskalaci práv, běží pod nerootovým uživatelem. A přidává vlastní seccomp profil, protože výchozí profil Dockeru blokuje user a mount namespace, které sandbox potřebuje. Některé virtuální stroje Docker Desktopu vnořené mount namespace omezují, takže na produkční kampaně chce OpenAI linuxový host. Ještě jeden detail, který se často nevidí: MCP server vystavuje pouze read-only metadata, protože MCP transport neumí zrušit běžící sken. Poctivé přiznání designového limitu.

Počítejte s časem. Plný sken repozitáře trvá na výchozím nastavení desítky minut, u některých projektů podle FAQhodiny a u velkých dny. OpenAI sama píše, že Codex Security nenahrazuje SAST.

GitHub: agentic autofix

GitHub má léta CodeQL, statickou analýzu s vlastním dotazovacím jazykem nad kódem, která najde třeba SQL injection nebo neošetřený vstup. Od roku 2024 k ní přibyl Copilot Autofix, jenž k nálezu navrhl záplatu a čekal, až ji použijete. Agentic autofix z 10. července jde dál. Agent si projde okolní soubory, napíše opravu, znovu spustí CodeQL, aby ověřil, že alert opravdu zmizel. A když nezmizel, zkusí to jinak.

Spouští se to jedním tlačítkem. Otevřete alert, přiřadíte ho Copilotovi, hotovo. Můžete jich taky vybrat víc naráz a nechat je opravit jedním pull requestem, totéž jde uvnitř security campaign. Automatizovat to lze přes REST API Update a Code Scanning Alert, kde nastavíte assignees na ["copilot-swe-agent[bot]"]. Oprava se vygeneruje za dvě až čtyři minuty a přistane jako draft pull request s popisem toho, co se změnilo, proč to alert zavírá a jak si to agent ověřil.

Teď k penězům, protože tady se dá udělat drahá chyba. Potřebujete licenci GitHub Code Security nebo GitHub Advanced Security a k tomu Copilota s povoleným cloudovým agentem. Každý běh čerpá z AI kreditů, kde jeden kredit je jeden americký cent, a k tomu ještě ukusuje minuty GitHub Actions. Enterprise dostane 3 900 kreditů na uživatele a měsíc, dočasně navýšených na 7 000 do 1. září 2026. Než to zapnete, nastavte tvrdé rozpočty na cost centers. Security campaign, která přiřadí sto alertů najednou, sní měsíční příděl za odpoledne.

Slabina je v tom, že agentní je jenom oprava. Hledání zůstalo na CodeQL, takže co CodeQL nevidí, to nikdo neopraví. Mimochodem, ve stejném týdnu vyšla verze CodeQL 2.26.0 s novým dotazem na prompt injection v JavaScriptu a TypeScriptu. Statická analýza teď hledá díry, které do kódu nasypaly agentní nástroje. Kruh se pěkně uzavřel.

Google: CodeMender

CodeMender vznikl jako výzkumný projekt Google DeepMind a v říjnu 2025 se pochlubil 72 bezpečnostními opravami upstreamovanými do open source projektů, mezi nimi i do kódů o čtyřech a půl milionech řádků. 21. července z toho Google udělal produkt v public preview. Technologie je devět měsíců stará, nové je balení.

Tím balením ovšem začíná problém pro běžného vývojáře. CodeMender dostanete přes Gemini Enterprise Agent Platform nebo jako součást produktu AI Threat Defense. Agent se pak napojí na vaše repozitáře a pracuje z lehkého CLI klienta, z VS Code nebo z Antigravity, což je agentní vývojové prostředí Googlu. Zapojit se dá i do CI/CD.

Pipeline má tři fáze. Scan hledá paměťové chyby, injekce, webové zranitelnosti, kryptografické slabiny a nebezpečnou práci s daty v C a C++, Go, Javě, Pythonu, Ruby, Rustu a TypeScriptu. Verify postaví proof-of-concept exploit a spustí ho v sandboxu, který spravujete vy, takže dostanete důkaz. Remediate vygeneruje záplatu, prožene ji kontrolou ve stylu LLM-as-a-judge, aby se neporušila funkčnost aplikace, a předá vám diff ke schválení. Konvence a styl vašeho kódu můžete agentovi dodat dopředu, aby záplata nevypadala jako cizorodý štěp.

Model si vybíráte sami. Google jede multi-model přístup, takže volíte podle ceny, rychlosti nebo hloubky skenu, a podporu modelů třetích stran slibuje na konec roku. Verze s Gemini 3.5 Flash Cyber zůstává vyhrazená malému okruhu vlád a prověřených partnerů.

Compliance oddělení bude spokojené: provoz jde přes vaši VPC, data jsou izolovaná a šifrovaná, zdrojový kód se podle Googlu neukládá. Uvnitř AI Threat Defense orchestruje celý cyklus Wiz, izraelská firma na cloudovou bezpečnost, kterou Google koupil. Její Security Graph obohatí nález o kontext nasazení a Red Agent zkusí zranitelnost dokázat penetračním testem.

Zůstává ta vstupní bariéra. Než se k CodeMenderu dostanete, musíte postavit Gemini Enterprise Agent Platform. Když ho odpojíte od AI Threat Defense, závislost na platformě se přesune, spíš než aby zmizela. A referenční citáty od Salesforce, Robinhoodu a Palo Alto Networks jsou hezké, jenže všechny je do tiskové zprávy dodal Google.

Srovnání

Kdo si tedy má co zkusit?

• Máte GitHub Enterprise a zapnutý CodeQL? Agentic autofix je nejmenší změna návyků, kterou můžete udělat. Zapněte rozpočty dřív, než ho pustíte na security campaign.
• Chcete si to osahat dnes večer bez schvalování v nákupním oddělení? A máte Claude Code? Pak Anthropic. Dva příkazy, běží to lokálně, doleze i na GitLab a do uzavřené sítě.
• Potřebujete to v CI, s exportem do SARIF a se sledováním nálezů mezi běhy? OpenAI má nejlíp promyšlené CLI ze všech čtyř. Jenom nezapomeňte, že jde o verzi 0.1.1.
• Máte compliance oddělení, které chce provoz přes vlastní VPC a nulovou retenci? Google. A rok na nasazení platformy.

Co v tom všem chybí

Nezávislé měření. Všechny čtyři firmy tvrdí, že jejich přístup dramaticky snižuje falešnou pozitivitu, a všechny to dokládají vlastními čísly. OpenAI mluví o 1,2 milionu naskenovaných commitů a 10 561 nálezech vysoké závažnosti, o poklesu falešných pozitiv o víc než polovinu a o snížení šumu o 84 procent. Google dodává citáty od zákazníků. Anthropic ukazuje panelové kvórum jako mechanismus. Zkouška na sdílené testovací sadě, kterou by provedl někdo třetí, zatím neproběhla ani jednou.

Druhá věc, o které se mluví málo: pipeline, která ověří zranitelnost tím, že ji spustí, je generátor exploitů s hezkým rozhraním. Každý z té čtveřice to řeší po svém a každý nedokonale. Klasifikátory OpenAI například hlásí kyberbezpečnostní riziko i v konverzacích o herním designu, jak dokládá issue v repozitáři Codexu.

A do třetice. Zpráva ze skenu je návod, jak vaši aplikaci rozbít. Leží vám na disku, případně rovnou v repozitáři, když nedáte pozor. OpenAI to v dokumentaci zdůrazňuje, Anthropic to řeší přibaleným .gitignore. Jenže první, co vývojář udělá s podivným adresářem v repozitáři, je git add -A. Držte palce.

Příštích dvanáct měsíců bude v téhle kategorii docela jízda. Až se objeví první nezávislý benchmark, vrátím se k tomu.