Corgea

Corgea 是 AI 原生的应用安全平台，官方口号是「Security for builders & agents」：在代码、依赖包、基础设施和容器里找漏洞，并且直接给出可提交的修复。它的差异点在两处：一是能看出传统扫描器漏掉的业务逻辑缺陷，二是从公网入口顺着运行时路径判断哪些洞真的能被利用。

核心能力

• AI 代码扫描：在代码里抓高风险路径，产出的是可直接评审的修复补丁，而不是只报一条告警。
• 依赖与容器扫描：依赖扫描按是否真的可利用来排序，并给出安全升级路径；容器扫描在部署前暴露镜像风险并给针对性处置。
• 密钥与配置扫描：密钥扫描在泄露扩散前拦下硬编码的密钥；基础设施即代码扫描在合并前拦住云配置错误。
• 业务逻辑缺陷检测：官方称能发现传统工具漏掉的逻辑漏洞，包括认证被绕过、缺少鉴权检查、真实业务流里的越权缺口。
• 可达性排序：从登录页、后台这类公开路由出发，追真实运行时路径，把汇聚到同一弱点的多条路径连起来，映射到具体代码与依赖包。
• 工程化接入：代码托管侧支持 GitHub、GitLab、Azure DevOps、Bitbucket、Harness；编辑器侧支持 VS Code、Cursor、Visual Studio 2022、IntelliJ；另有面向 agent 的接入方式。
• 配套能力：代码质量扫描、软件物料清单与许可证合规、攻击面测绘、AI 渗透测试、安全设计评审。

适合谁

• 有合规压力的中小安全团队：扫描器买了好几套、告警看不过来，需要一个统一控制面。
• 金融、能源、医疗这类强监管行业的应用安全工程师：需要能说清修了什么、为什么先修这个。
• 把安全左移落到研发流程的运维团队：希望漏洞以 PR 形式回到开发手里，而不是停在安全工单里。
• 只做静态站点、没有后端服务的项目优先级不高。

使用建议

• 先用免费额度扫一个真实仓库，重点看误报率。这类工具的价值有一半在少打扰。
• 接入顺序建议先代码扫描与依赖扫描，跑顺了再加容器与配置扫描。一次性全开会淹没在告警里。
• 自动修复要保留人工评审环节，尤其是鉴权与支付相关改动，补丁正确不代表业务语义正确。
• 官方宣称的更多真阳性、更少误报属于厂商口径，用自己的历史漏洞做回归测试更可信。
• 扫描会读取源码与配置，接入前确认数据留存与权限边界；合规声明以官方信任中心为准。