關於 Corgea
About
什麼是 Corgea
Corgea 是為開發者打造的應用程式安全平台。它會讀你的程式碼、商業邏輯與基礎架構，找出真正的風險，再把修補弱點的工作變成能嵌進你現有流程的修正。
幾乎所有應用程式安全平台都停在偵測這一步。它們把成千上萬筆警告倒進儀表板，然後得有人花上好幾週，把雜訊和真正的威脅分開。Corgea 從兩端解決這個瓶頸。它本質上是一套靜態安全分析工具，會抓傳統掃描器漏掉的問題，例如驗證機制被破壞，以及藏在真實應用流程裡的授權缺口。一旦確認問題是真的，它就把補丁寫出來。
要留意的是，Corgea 靠 AI 模型做推理，而它宣傳的準確度數字（真陽性多一倍、誤報少三分之二、自動修正準確率超過九成）都來自自家在客戶程式碼上的測試。行銷文案也偏愛抽象說法，例如減少誤報，所以最好先拿你自己的儲存庫對照過再決定信不信。另外，免費方案上限是 2 名成員、10 個儲存庫，團隊一長大很快就得往付費方案走。
開始使用
- 用電子郵件在 corgea.app 註冊。免費方案不需要信用卡。
- 透過 GitHub App 連結一個儲存庫，若程式碼放在 GitLab、Azure DevOps、Bitbucket 或 Harness，也能一併接進來。
- 讓 Corgea 跑第一次掃描。它會整理出可觸及的路由、驗證流程與相依套件風險，幾分鐘內回報結果。
- 檢視排好序的問題，採納自動產生的修正，讓 Corgea 對你的分支開 pull request。
產品資訊
快速了解 Corgea 的定價、支援平台與效能。
適合對象
這項工具最適合的使用者、任務與情境。
使用者
- 軟體開發者：Corgea 適合想把安全發現當成儲存庫裡的 pull request 來收的團隊，而不是多一個要盯的儀表板。
- 應用程式安全與資安工程師：你把靜態分析（SAST）、機密、相依套件、容器與 IaC 掃描集中在同一處，再把每個問題分派給正確的人，不必在五套工具間跳來跳去。
- 新創技術主管：免費方案涵蓋 2 席、10 個儲存庫的小團隊，正好適合還撐不起一套安全平台的早期專案。
- 有法規遵循需求的企業：Scale 與 Enterprise 方案加上 SSO、稽核日誌、單租戶部署與 SOC 2 Type II 控管，對受監管的產業很實用。
任務
- 大規模修正不安全程式碼：Corgea 會針對 SQL 注入、存取控制破損、寫死的機密與弱加密產生補丁，再開 PR 讓團隊審查，而不是重寫。
- 抓出商業邏輯漏洞：它會從 /login 這類公開路由追蹤執行路徑，一路找到傳統掃描器會跳過的可觸及弱點，授權瑕疵因此不會溜過去。
- 合併前先做安全檢查：PR 掃描會在某個功能分支合併前標出問題，趁程式碼還在作者腦子裡最新鮮的時候處理。
- 清理有弱點的相依套件：相依套件升級與 SCA 發現會跟著程式碼修正一起來，修補函式庫風險不用再另開一輪。
情境
- 趕著上線新功能：你掃描分支、套用自動修正、直接合併，不必讓安全審查卡住發表。
- 導入 AI 寫程式助手：用 Cursor、Copilot 或代理式建構工具的團隊，會加上 Corgea 來攔下快速生成的程式碼帶進來的危險寫法。
- 準備稽核：報表與分析搭配稽核日誌，能拿出某段期間內找到了什麼、修好了什麼的證據。
- 強化接手來的舊程式碼：對老舊儲存庫跑一次完整掃描，會翻出多年沒人看過的邏輯漏洞與過時相依套件。
主要功能
AI 靜態分析（AI SAST）
Corgea 的核心掃描器像真人一樣讀原始碼，不只是比對樣式。它瞄準邏輯層級的漏洞，例如驗證機制被破壞、缺少授權檢查，以及規則式工具常漏掉的存取缺口。該公司表示，它的引擎找到的真陽性大約是傳統 SAST 的兩倍，標出的誤報卻少得多。
自動修正的 Pull Request
每一筆確認的發現，都會附上一份以 pull request 形式送進你儲存庫的建議補丁。你審查 diff、需要就微調，然後合併。修正因此留在開發者的日常流程裡，而不是丟進另一條修補佇列。免費帳號有 10 次自動修正，Growth 與 Scale 分別提高到 50 與 200 次。
自主滲透測試代理
Corgea 的滲透測試引擎運作起來像一支小型安全團隊。一個協調代理會派出專門的子代理（驗證探索、API 探查、注入測試），彼此分享發現並隨學習調整。在一次公開測試中，該公司說它的代理找到 25 筆發現，人類滲透測試員只找到 6 筆，交付時間是幾小時而不是幾週。
廣泛的掃描涵蓋範圍
單一平台就涵蓋 SAST、相依套件掃描、機密偵測、容器掃描與基礎架構即程式碼的錯誤設定。這點很重要，因為多數安全計畫把這些都當成獨立工具，各有各的警告，而許多 DevSecOps 工具還會再散出一堆零散警告。Corgea 把它們併成單一清單，依攻擊者真正能觸及的程度排序。
開發者與代理整合
Corgea 在版本控制上接上 GitHub、GitLab、Azure DevOps、Bitbucket 與 Harness，在編輯器上接上 VS Code、Cursor、Visual Studio 2022 與 IntelliJ。它還附帶一個 MCP 伺服器，讓 AI 寫程式代理能自己讀取發現並據以行動。
依可觸及性排定優先順序
Corgea 不按原始嚴重度排序，而是從公開進入點追蹤執行路徑，一路到它碰到的程式碼與套件。它把匯流到同一弱點的多條路由連起來，並把影響對應到有弱點的程式碼，團隊因此能先修可被利用的部分。
優缺點
優點
- 以 pull request 交付修正，修補弱點的工作就發生在團隊本來就在的地方。
- 把五種掃描類型收進單一平台，減少工具散亂與重複警告。
- 免費方案就包含真正的 SAST 與邏輯分析，不只是展示。
- MCP 伺服器與 IDE 擴充讓 AI 代理能直接對發現採取行動，不必人工轉手。
缺點
- 免費方案卡在 2 席、10 個儲存庫，對已經過了原型階段的團隊來說很吃緊。
- 準確度數字（誤報更少、自動修正更多）來自供應商自家測試，第三方驗證仍然薄弱。
- 部分資安主管對自動變更在沒有真人把關下碰到正式分支仍有疑慮。
常見問題
是的。有一個免信用卡的免費方案，涵蓋 AI SAST、邏輯與驗證掃描、相依套件掃描、機密偵測、容器掃描與 IaC 掃描。它限制為 2 名成員與 10 個儲存庫，並包含 10 次自動修正。
相關內容
探索與 Corgea 相關的工具、技能與文章。
Corgea 替代方案
Base Code
Base44 (Wix) · 程式設計 · 生產力Base Code 是 Base44 推出的共享雲端開發環境。團隊在對話中描述對既有 GitHub 儲存庫的修改，看著預覽確認結果，再以 Pull Request 交回工程團隊。
Google EmbeddingGemma 2
Google DeepMind · 寫作 · 圖片 · 程式設計Google EmbeddingGemma 2 是 7.4 億參數的開源模型，能把文字、程式碼、圖片、音訊與影片畫面轉成同一個 768 維空間裡的向量，在手機與筆電上就能執行。
GitGlow
GitGlow · 程式設計 · 生產力GitGlow 是桌面版 Git 用戶端，把你自己的程式碼與 AI 代理程式的變更集中在同一份審查裡，讓你在交付前看清楚機器上究竟要送出什麼。