Qwiet AI
Qwiet AI (Harness) · 程式設計
Qwiet AI 是 Harness 旗下的程式碼安全平台，執行靜態程式碼分析、依實際可觸及性排序風險，並草擬可供審閱的修補。
關於 Qwiet AI
What Is Qwiet AI
Qwiet AI 是一套應用程式安全測試平台，服務對象是每天都得交付程式碼的團隊。一次掃描會讀取原始碼、開源相依套件、基礎架構檔案、容器映像與寫死的金鑰，安全團隊不必在五個儀表板之間來回切換。公司原本叫 ShiftLeft，2025 年 9 月起併入 Harness，目前放在 Harness 的安全測試模組底下。
它賣的是訊號，不是數量。舊型掃描器看到像危險的模式就標記；Qwiet AI 先建立程式碼屬性圖，再追查某一行風險程式在執行時是否真的會接收到使用者輸入。沒有人呼叫的發現會往下沉。廠商宣稱真陽性率達 97％，這個數字來自自家測試，不是獨立實驗室的結果。
簽約前有兩件事要先看清楚。價格沒有公開，得跟業務談，並依程式碼行數或應用程式數量計價。另外，AI Autofix 用語言模型寫修補，每一張合併請求還是要有人審。把它當成動作很快的同事寫的初稿比較妥當。
Getting Started
- 從 GitHub、GitLab、Bitbucket 或 CI 工作接上儲存庫，第一次掃描會讀取程式碼並建立圖譜。
- 選擇要掃描的應用程式，再設定觸發時機。多數團隊先從合併請求開始，之後再補上夜間建置。
- 打開發現清單，依可達性與實際遭利用狀況排序。每一筆都會顯示資料從來源流向何處。
- 對某一筆執行 AI Autofix，讀過修補與對應的單元測試，再走平常的審閱流程合併。
產品資訊
快速了解 Qwiet AI 的定價、支援平台與效能。
適合對象
這項工具最適合的使用者、任務與情境。
使用者
- 中大型企業的安全工程師：可達性過濾能把需要好幾天分類的清單縮短，但程式碼量要夠大才撐得起合約。
- 有安全要求的開發團隊：發現直接出現在合併請求裡，修錯之前不必再學一套儀表板。
- 稽核與法遵負責人：掃描紀錄與政策規則能作為 SOC 2 或 PCI DSS 審查的證據，前提是稽核員要的報告都有留存。
任務
- 合併前掃描：Qwiet 以狀態檢查的身分執行，政策未通過就擋下合併，直到有人處理。
- 清理積壓已久的發現：可達性標籤把還活著的風險與多年雜訊分開，清單才看得完。
- 檢查開源相依套件：軟體組成分析在同一次掃描中完成，有漏洞的套件會跟呼叫它的程式碼並排顯示。
- 草擬第一版修補：AI Autofix 會提出變更與測試，處理常見的注入與 XSS 問題時能省下閱讀時間。
情境
- CI 上的發布關卡：遇到可達的重大問題時管線停下，團隊在建置頁面就能看到原因。
- 稽核準備：把法遵期限變成一張篩選過的清單，列出未關閉的重大問題與其資料路徑。
- 接手陌生的程式庫：圖譜檢視說明請求怎麼穿過不是你寫的服務。
主要功能
一次掃描，五種檢查
單次分析涵蓋原始碼、開源函式庫、基礎架構即程式碼、容器映像與寫死的金鑰。整併是重點：一次導入、一份清單、一套政策語言，不必開四個入口各自登入。
可達性與可利用性過濾
Qwiet AI 追查不受信任的輸入是否真的走到有漏洞的函式，再提高已在野外遭到利用的問題權重。實際效果是清單前段變短，而那裡正是安全團隊每天上午耗掉時間的地方。無法觸及的發現仍留著供稽核調閱，不會塞滿畫面。
AI Autofix 與測試過的修補
Autofix 會針對一筆發現產生程式碼變更與單元測試，修補以一般合併請求的形式出現。你用看待同事成果的方式審閱，模型不會自己提交。廠商說修復時間減少 95％，這個數字建議先在自己的儲存庫驗證，再拿來規劃人力。
程式碼屬性圖分析
Qwiet 不比對文字模式，而是把變數、呼叫與跨檔案、跨服務的資料流建成模型。靠這個模型，掃描器才能從 HTTP 處理常式一路追到資料庫查詢，也才看得出只在單一檔案裡顯得安全的邏輯。
管線與儲存庫整合
掃描器可在 Harness 管線中執行，也能接上 GitHub Actions、GitLab CI、Jenkins、Azure DevOps 與命令列工具。結果以建置檢查呈現，也會開成 Jira 或 ServiceNow 票券。多數團隊保留原有 CI，把 Qwiet 當成多出來的一步。
發現儀表板與匯出
網頁主控台依應用程式、嚴重度與可達性分組，並支援 SARIF 匯出給其他工具。政策規則可以因為嚴重度門檻或特定類別而讓建置失敗，產品因此成為發布關卡。
優缺點
優點
- 一次掃描取代 SAST、SCA、IaC、容器與金鑰等分散工具，成本與工具數量一起下降。
- 可達性脈絡讓長串清單變得可用，減噪效果比單看嚴重度標籤更實在。
- 發現出現在合併請求與既有票務系統裡，開發者不用養成新習慣。
- AI Autofix 附上對應的單元測試，常見錯誤類型的審閱因此變快。
- 有免費方案，也能直接在 Harness 管線裡跑，試辦不必先走採購流程。
缺點
- 價格不公開。從官網估不出預算，要規劃經費就得跟業務談。
- 97％ 的準確率由廠商提供。Qwiet AI 的獨立評測不多，建議用真實程式碼先試。
- 建議的修補仍需要懂脈絡的人審。能編譯的修補也可能改變模型看不見的行為。
- 政策與圖譜查詢的深度調校偏技術，小團隊可能一輩子用不到完整規則集。
常見問題
Qwiet AI 掃描應用程式碼與相依套件裡的安全弱點，再依攻擊者是否真能觸及來排序。它也會提出修補，並在 CI 管線裡扮演發布關卡。
相關內容
探索與 Qwiet AI 相關的工具、技能與文章。
Qwiet AI 替代方案
Base Code
Base44 (Wix) · 程式設計 · 生產力Base Code 是 Base44 推出的共享雲端開發環境。團隊在對話中描述對既有 GitHub 儲存庫的修改，看著預覽確認結果，再以 Pull Request 交回工程團隊。
Google EmbeddingGemma 2
Google DeepMind · 寫作 · 圖片 · 程式設計Google EmbeddingGemma 2 是 7.4 億參數的開源模型，能把文字、程式碼、圖片、音訊與影片畫面轉成同一個 768 維空間裡的向量，在手機與筆電上就能執行。
GitGlow
GitGlow · 程式設計 · 生產力GitGlow 是桌面版 Git 用戶端，把你自己的程式碼與 AI 代理程式的變更集中在同一份審查裡，讓你在交付前看清楚機器上究竟要送出什麼。