Amazon CodeGuru Security
利用 ML 自动检测源代码漏洞并提供修复代码建议的静态应用安全测试服务
概述
Amazon CodeGuru Security 是一项基于机器学习的静态应用安全测试（SAST）服务，可自动检测源代码中的安全漏洞并提供具体的修复代码建议。覆盖 SQL 注入、跨站脚本（XSS）、硬编码凭证、加密缺陷等 OWASP Top 10 漏洞类别。支持 Java、Python、JavaScript/TypeScript、C#、Ruby、Go 等主流语言，通过与 CodePipeline 或 GitHub Actions 集成嵌入 CI/CD 流水线，可在漏洞代码部署到生产环境前进行检测和拦截。
基于 ML 的漏洞检测与传统 SAST 的区别
CodeGuru Security 的检测引擎基于 Amazon 内部数十亿行代码审查数据训练的 ML 模型。传统基于规则的 SAST 工具通过模式匹配检测已知漏洞模式，而 CodeGuru Security 理解代码的语义上下文，追踪数据流判断漏洞的可达性（Reachability）。这大幅减少了实际无法利用的误报（False Positive），让开发者专注于真正需要处理的漏洞。检测结果附带严重程度（Critical、High、Medium、Low、Informational）和 CWE 编号分类。此外，针对检测到的漏洞自动生成具体的修复代码（代码补丁），开发者可一键应用修复。修复建议也由 ML 模型生成，因此会提供符合项目编码风格的自然代码。
CI/CD 流水线集成模式
将 CodeGuru Security 嵌入开发工作流有多种方式。与 GitHub Actions 集成时，创建拉取请求时自动执行扫描，检测到的漏洞显示为拉取请求评论。与 CodePipeline 集成时，在构建阶段后添加安全扫描阶段，检测到 Critical 或 High 漏洞时可自动停止流水线作为质量门。安全编码相关书籍（Amazon）可帮助系统性学习漏洞原理和对策。扫描结果自动连接到 Security Hub，可在组织整体安全态势仪表板中进行漏洞趋势分析。支持增量扫描（仅扫描差异），即使大型仓库也能将扫描时间控制在几分钟内。
密钥检测与运维最佳实践
CodeGuru Security 还支持检测代码中硬编码的密钥（API 密钥、密码、数据库连接字符串、AWS 访问密钥等）。通过回溯 Git 历史扫描功能，可检测过去提交中包含的密钥，并提示确认是否已轮换。运维最佳实践是首先对现有代码库执行全量扫描盘点当前漏洞，按严重程度优先修复建立分诊流程。对新代码通过 CI/CD 质量门拦截 Critical/High，Medium 以下作为技术债务管理的渐进式方法较为现实。扫描策略可配置排除特定文件路径或规则，抑制测试代码和第三方库的误检。每周审查检测趋势，针对频发的漏洞模式对开发团队实施安全培训的 PDCA 循环效果显著。