人工智能与时间的赛跑
发现的漏洞更多，发现得更快，被利用得更早。
全球CVE数量激增
72,812
截至2026年9月公布的CVE数量，已比2025年全年多出51%
缩短投入运营的时间
−7天
2025年的平均漏洞利用时间：目前，攻击平均在补丁发布之前就已经开始
加拿大税务局（CRA）的期望
制造商必须分三个阶段向欧洲网络与信息安全局（ENISA）及其本国计算机安全事件响应小组（CSIRT）通报情况，且必须在发现漏洞被利用后仅24小时内开始通报。
24小时
预警
首次预警，包括疑似原因及受影响的国家
72小时
通知
该漏洞的详细信息、受影响的产品以及已采取的缓解措施
14d
最终报告
在修复方案发布后的14天内，需提供严重性、影响范围及纠正措施
24小时内准备好提交报告了吗？
为了赶上每个截止日期，你需要尽快得到答案：
- 这些是真正的漏洞，而不仅仅是潜在的弱点吗？
- 在您的产品中，这些功能是否可以访问并加以利用？
- 是否有经过验证的修复方案，或者能否快速生成一个？
CRA漏洞管理中的缺口
《CRA》规定，您需对产品中的每一个漏洞负责，无论该漏洞存在于您自己的代码、第三方组件还是开源库中。这些义务已由法律明确规定，而由此产生的工作量却在不断增加。
更多代码，更快发布
人工智能驱动的开发意味着更多的代码、更多的依赖项以及更短的发布周期。每次发布都会带来新的第一方、第三方和开源组件，同时也带来了新的漏洞风险。
难以确定优先级
如果没有可利用性的证据，严重性评分就成了排队的唯一依据。团队将精力浪费在无关紧要的事情上，而真正的风险却被搁置一旁。
无风险证据
扫描工具会标记出数千个问题，但很少能显示某个漏洞是否可触及、可利用以及是否与您的产品相关。
简略审计轨迹
内部代码和外部组件通常由不同的工作流分别管理，相关决策分散在工单、聊天记录和电子表格中。要在24小时或72小时内整理出可追溯且符合审计要求的证据，几乎是不可能的。
基于人工智能的漏洞修复，深度融入您的开发周期
Keysight AI CRA 分析是一项由人工智能驱动的代码分析服务，集成了漏洞管理功能，可自动化处理整个漏洞生命周期。该服务基于是德科技的安全专业知识，依托我们专有的基于人工智能的框架，能够识别漏洞、测试其可利用性、建议并验证修复方案，并记录每个步骤。
核心能力
智能分诊
对基于 SBOM 的 CVE 和 SAST 检测结果进行分级处理，过滤掉误报，并将可被利用的风险优先排序。
已验证的修复方案
在沙箱环境中构建、测试并验证每一项修复，以确认漏洞已得到解决。
可达性分析
显示哪些漏洞实际上可以通过真实的生产环境入口点被访问和利用。
CRA证据
为漏洞处理、协调披露、事件报告和符合性评估创建可追溯且符合审计要求的记录。
- 入职
- 初步评估
- 人工智能分析与验证
- 结果回顾
- 回顾
入职
您需要共享源代码仓库的访问权限和环境信息。由于我们分析的是源代码而非二进制文件，因此每个问题都会精确定位到具体行号，且修复方案将以可直接合并的补丁形式提供。
初步评估
在进行全面分析之前，是德科技会与您一起评估先决条件并解决阻碍因素。
人工智能分析与验证
我们的框架会收集SCA数据并运行基于AI的静态应用安全测试（SAST），随后启动一个沙箱环境，用于测试可达性与可利用性，并验证每个补丁。
结果回顾
贵团队与是德科技将共同审查调查结果、补丁效果及整改建议。
回顾
我们找出覆盖范围中的不足之处，并收集反馈意见，以便今后进行改进。
所有选项均在一个统一的 AI 工作流中涵盖了第一方、第三方和开源代码，CI/CD 管道集成功能即将推出。
您的IP地址始终属于您
您的源代码是您最宝贵的资产。我们正是以此对待它的。
- 在离线AI服务器上托管项目，无需将数据发送至云端
- 选择符合地区合规要求的AI模型
- 可在AI云服务提供商上运行的选项
- 不进行客户数据方面的培训
常见问题解答
关于正在被利用的漏洞和严重事件的报告要求自2026年9月11日起生效。其余要求，包括漏洞处理和软件成分清单（SBOM），自2027年12月11日起生效。
不。AI 会建议补丁并在沙箱中进行验证。关键补丁在合并到您的代码库之前，必ず会经过人工审核。
不。项目可以在离线AI服务器上运行，且您的数据绝不会被用于训练模型。
您已经清楚了解产品中哪些漏洞是可触及且可被利用的，且每项发现都有可追溯的记录。当出现新的被利用漏洞时，您可以快速评估其影响，并附上证据进行报告。
调查结果将融入您现有的工作流程，例如以优先级排序的 Jira 任务或冲刺项的形式呈现。
以贵公司的一款产品为例进行概念验证。该过程遵循上述五个步骤，最后对结果进行回顾。