AquilaX

AquilaX 是一个面向 DevSecOps 团队的 AI 驱动应用安全（AppSec）平台。它能在整个软件栈上同时运行 32 个并行安全扫描器——覆盖源代码、依赖项、容器、基础设施即代码、API 端点、密钥、PII 等——并在 60 秒内交付结果。平台的核心是 Securitron AI，一个基于超过 3 亿个项目训练的自学习模型。Securitron 自动消除 93.54% 的误报，生成 AI 驱动的修复补丁，并创建经过验证的拉取请求——让开发者把时间花在交付功能上，而不是分类噪音。AquilaX 提供云 SaaS 产品和完全自托管本地部署（Docker / Kubernetes）两种形式。它获得了 NVIDIA Inception、Microsoft for Startups 的支持，并作为官方 GitLab 技术合作伙伴提供服务。

传统 SAST 工具只扫描代码的一个维度（通常是模式匹配的静态分析），并产生大量误报，开发者必须手动分类。AquilaX 采取了根本不同的方法：32 个扫描器并行运行。AquilaX 同时运行 SAST、SCA、DAST、密钥、PII、IaC、容器、API 安全、恶意软件和 Vibe Code 扫描器——一次扫描即可获得完整的安全态势。误报减少 93.54%。Securitron AI 学习你代码库的独特模式和上下文。它使用数据流和污点分析来区分真实漏洞和理论漏洞，而不仅仅是正则匹配。自动修复。每个发现都附带 AI 生成的补丁。AquilaX 针对你的代码库验证修复并创建拉取请求——无需开发者手动操作。速度。扫描在 60 秒内完成，而传统企业 AppSec 工具需要数小时或数天。成本。AquilaX 比传统工具成本效益高 20–30%，提供永久免费层，且不按扫描次数收费。

AquilaX SAST 支持 17 种以上编程语言，包括：Python、JavaScript、TypeScript、Java、Kotlin、Go、Ruby、PHP、C、C++、C#、Rust、Swift、Scala、Dart、R 和 Shell 脚本。SCA 扫描器覆盖的包管理器包括 npm、pip、Maven、Gradle、Cargo、Composer、Gemfile、Go modules、NuGet、CocoaPods 和 Pub（Dart）。IaC 扫描器支持 Terraform（HCL）、AWS CloudFormation、Kubernetes YAML、Helm charts、Dockerfile、Docker Compose、Ansible 和 Pulumi。容器扫描支持 Docker Hub 镜像、私有仓库以及任何符合 OCI 规范的镜像格式。

对于不超过 10 万行代码的仓库，AquilaX 扫描通常在 60 秒内完成。对于更大的企业代码库，平台可水平扩展——全部 32 个扫描器仍然并行运行，结果实时聚合并去重。我们主页上的计数器反映实时平台指标：即使是最复杂的多语言单体仓库，当前中位扫描时间也在 120 秒以内。

当你触发扫描时——通过仪表板、CI/CD 流水线事件或 REST API——AquilaX 会启动一个异步执行引擎，并发分派所有适用的扫描器。扫描器之间不互相等待。每个引擎完成后，结果流式返回聚合层。随后进行去重处理，移除多个引擎针对同一行代码报告的重复发现，Securitron AI 再运行最终分类处理，在结果呈现给开发者之前抑制误报。

是的。AquilaX 专为企业规模而构建。关键企业能力包括：通过 Docker 或 Kubernetes Helm chart 进行本地部署——完全的数据主权，代码不离开你的环境。面向企业身份提供商的 SSO / SAML 集成。面向团队和组织的基于角色的访问控制（RBAC）。组织级仪表板，聚合数百个仓库的发现。企业 SLA 和专属支持。API 优先架构——每个平台能力都可通过 REST API 用于与 SIEM、工单和安全编排工具集成。联系 admin{@}aquilax.ai 获取企业定价和引导式概念验证。

AquilaX SAST 超越了简单的模式匹配。它使用三种互补的分析技术：污点分析——跟踪不可信（受污染）数据从源（用户输入、HTTP 参数、环境变量）经过应用程序流向汇点（数据库查询、文件写入、shell 命令）的过程。如果受污染数据未经净化到达危险汇点，则被标记为漏洞。数据流分析——建模值如何在变量、函数和模块之间传播，以检测跨多个文件或调用点的漏洞。控制流分析——检查代码中所有可能的执行路径，以检测逻辑缺陷、空指针解引用和认证绕过。发现结果映射到 CWE 和 OWASP 标识符，并由 Securitron AI 丰富上下文描述和修复建议。

密钥扫描器检查仓库中的每个文件——包括 git 历史、配置文件、CI/CD YAML 文件、环境文件和文档——查找硬编码的敏感值。检测的密钥类型包括：API 密钥（AWS、GCP、Azure、GitHub、Stripe、Twilio、SendGrid、OpenAI 以及 200 多种其他服务模式）私有 SSH 和 TLS/SSL 密钥 OAuth 令牌和 JWT 密钥 带嵌入凭据的数据库连接字符串 应用程序配置中的硬编码密码 Slack 和 Discord webhook URL 匹配密钥模式的通用高熵字符串 扫描器同时使用基于签名的检测（已知提供商密钥模式）和熵分析，以最小化误报，同时捕获新型密钥格式。

软件组成分析（SCA）识别开源依赖项中的漏洞。AquilaX SCA 引擎：解析你的依赖清单（package.json、requirements.txt、pom.xml、go.sum、Cargo.lock 等），构建包含传递依赖的完整依赖图。实时将每个包和版本与 NVD（国家漏洞数据库）、OSV（开源漏洞）和 GitHub Advisory Database 进行交叉引用。为每个发现报告 CVE ID、CVSS 评分、受影响版本范围、修复版本和通俗语言描述。标记可能对商业软件构成法律风险的许可证冲突（GPL、AGPL、LGPL）。生成升级建议并自动创建拉取请求以更新易受攻击的包。

Vibe Code 扫描是一种专用扫描器，用于分析 AI 编码助手（GitHub Copilot、ChatGPT、Cursor、Claude、Gemini 及类似工具）生成的代码。AI 生成的代码经常包含传统 SAST 规则集未设计检测的安全模式，包括：语法正确但语义不安全的不明显不安全模式 来自旧训练数据的不安全加密默认值（例如弱密钥长度、已弃用算法） 从 StackOverflow 复制粘贴的片段，其中嵌入了已知漏洞，混在 AI 编写的代码中 自动补全函数中缺少输入验证 AI 建议中遗留的硬编码示例凭据 Vibe Code 扫描器使用一个微调模型（Qwen2.5-Coder-3B-Instruct，LoRA rank 512），专门针对 AI 生成的代码模式训练，以捕获这些问题。

IaC 扫描器覆盖以下平台和常见错误配置类别：Terraform——公开暴露的 S3 存储桶、未加密的 RDS 数据库、开放的安全组、缺少 MFA 删除、过于宽松的 IAM 策略、未版本化的 S3 存储桶。AWS CloudFormation——与 Terraform 相同的类别，外加 CloudTrail 禁用、VPC 流日志缺失。Kubernetes YAML / Helm——以 root 运行的容器、特权容器、缺少网络策略、缺少资源限制、使用默认服务账户、hostPath 挂载。Dockerfile——以 root 用户运行、使用 latest 标签、ENV 变量中的密钥、ADD 与 COPY、不必要安装的包。Docker Compose——特权模式、开放端口绑定、缺少重启策略。Ansible——使用 shell/command 模块处理不可信输入、敏感任务缺少 no_log、不必要的 become: yes。

是的——动态应用安全测试（DAST）需要一个运行中的目标应用程序或 AquilaX 扫描器可访问的暂存环境。DAST 引擎通过向目标发送精心构造的 HTTP 请求并分析响应中的漏洞指标来执行主动探测。DAST 覆盖范围包括：SQL 注入、跨站脚本（XSS）、跨站请求伪造（CSRF）、服务端请求伪造（SSRF）、XML 外部实体（XXE）、对象级授权破坏（BOLA/IDOR）、开放重定向和 HTTP 安全头分析。DAST 可配置为针对任何 URL——云暂存环境、本地隧道（通过 ngrok 或 Cloudflare Tunnel）或使用本地部署时的私有网络主机。

Securitron AI 是 AquilaX 的专有人工智能引擎。它不是单一模型，而是一套在扫描流水线中协同工作的专用 AI 模型：审查模型——基于 GraphCodeBERT 的分类器（93.54% 准确率），读取每个扫描器发现，并使用代码上下文、你团队的历史反馈和跨组织信号将其分类为真阳性或假阳性。AI 扫描器模型——一个微调的 Qwen2.5-Coder-3B-Instruct 模型（LoRA rank 512，4 位量化，在 10 万个文件上训练 5 个 epoch），对源代码文件执行深度语义漏洞分析。安全助手（QnA）——一个使用 LoRA（rank 256，alpha 64）微调的 Qwen2.5-Coder-0.5B 模型，用自然语言回答开发者关于特定发现的问题。Securitron Chat（问答）——一个 8192 token 上下文的聊天模型，使用 ChatML 格式维护多轮对话历史（最多 5 轮交换），可通过 /genai/securitron API 访问。查询模型——一个 FLAN-T5-base 模型，训练用于将自然语言问题转换为 PostgreSQL 查询，以在你的发现数据库中搜索。总体而言，Securitron AI 已在超过 3 亿个项目的数据上训练。

审查模型（基于 GraphCodeBERT）经过训练，能够理解代码结构和漏洞发现的语义上下文。与基于规则的抑制不同，它不使用固定允许列表。相反，它从以下方面学习：代码上下文——标记位置的实际代码、周围函数和调用图。历史反馈——当开发者将发现标记为误报时，每客户模型会自动基于该信号重新训练。跨组织模式——来自 AquilaX 用户群的匿名信号帮助模型识别朴素扫描器错误标记的常见安全编码模式。模型的性能指标为：93.54% 准确率、91.48% 精确率和 96.98% 召回率——这意味着它抑制了几乎所有误报，同时保持几乎所有真实漏洞可见。

每个 AquilaX 组织都拥有自己的 Securitron 审查模型实例。该模型基于你代码库的特定模式、语言选择、框架约定以及你团队过去的分类决策进行微调。随着团队审查发现，重新训练会自动滚动进行。无需手动配置。模型持续适应——因此你使用 AquilaX 的时间越长，它就越准确地反映你特定代码库中什么是真实漏洞、什么不是。

可以。对于每一个确认的真实阳性发现，AI 修复引擎会：利用 AI 扫描器模型和周边代码上下文生成上下文相关的代码修复。验证补丁不会引入新问题或破坏相邻逻辑。创建一个已应用修复的拉取请求（GitHub / GitLab / Bitbucket），并附上变更内容及原因说明。开发者可以在现有的 git 工作流中审查 PR、请求修改或直接合并。这将平均修复时间（MTTR）从数天缩短至数分钟。

Securitron AI 可通过多种方式访问：仪表盘聊天——在发现详情视图中直接用自然语言向 Securitron 询问任何发现的问题。安全助手 API——在 developers.aquilax.ai 上 POST /api/genai/assistant，接受问题和代码片段并返回结构化的安全分析。Securitron 聊天 API——POST /api/genai/securitron 支持多轮对话和流式输出（text/event-stream），用于构建具备安全意识的开发者工具。自然语言查询——提出诸如“显示支付服务中所有严重的 SQL 注入发现”之类的问题，查询模型会自动将其转换为数据库查询。

AquilaX Free 计划永久免费，无需信用卡。包含：无限密钥扫描（覆盖所有文件和 git 历史）无限 PII 检测无限合规报告（OWASP Top 10、CWE Top 25、CVE 跟踪、PCI DSS、ISO 27001、NIST、DORA、NIS2）CI/CD 集成（GitHub Actions、GitLab CI 等）IDE 插件支持 REST API 访问 SARIF 2.1.0 导出 Free 计划非常适合刚开始接触应用安全的个人开发者或小型团队。

Premium 计划在 Free 所有内容的基础上，增加了完整的 SAST、SCA、DAST、容器、IaC 和 API 安全扫描。具体包括：Free 中的所有内容（密钥、PII、合规）SAST（17+ 种语言，污点分析）SCA（开源依赖漏洞 + 许可证合规）DAST（动态应用扫描）容器安全（Docker 镜像 CVE 扫描）IaC 扫描（Terraform、K8s、Dockerfile、Ansible）API 安全扫描器（OpenAPI / GraphQL）共 7 个扫描引擎 按组织每月 $19 计费。无按扫描收费。无限扫描。

Ultimate 计划解锁完整的 AquilaX 平台，包括 Securitron AI：Premium 中的所有内容（全部 7 个扫描引擎）恶意软件检测 Vibe Code 扫描器（AI 生成代码安全）Securitron AI 引擎（按客户定制模型，93.54% 误报消除）AI 驱动的自动修复（补丁生成 + 自动化 PR）Securitron 聊天和安全助手 API 访问本地部署选项（Docker / Kubernetes）优先支持 提供 14 天免费试用——无需信用卡。试用结束后，计划按 $99/月续订。

有。Enterprise 计划适用于需要以下内容的组织：自定义用户席位数量和团队结构 具备完整数据主权的本地部署（数据不离开您的基础设施）SSO / SAML 身份提供商集成 使用自定义训练数据的专用 Securitron AI 模型 自定义合规框架映射 SLA 保证和专属客户成功支持 批量定价和年度合同 请联系 admin{@}aquilax.ai 获取定制报价或预约概念验证。

没有。AquilaX 不按扫描收费。所有计划——包括 Free——都包含无限扫描。没有隐藏费用、超额费用或扫描配额。定价按组织每月计算，无论您运行多少次扫描、连接多少个仓库或团队中有多少开发者。

AquilaX 原生集成：GitHub（GitHub.com 和 GitHub Enterprise）GitLab（GitLab.com 和自托管 GitLab）——AquilaX 是官方 GitLab 技术合作伙伴 Bitbucket（Bitbucket Cloud 和 Bitbucket Server）Azure DevOps（Azure Repos）集成支持基于 OAuth 的仓库连接、推送时自动设置 webhook 进行扫描，以及拉取请求安全检查（在发现严重问题时阻止合并）。

AquilaX 与所有主流 CI/CD 系统集成：GitHub Actions——GitHub Marketplace 中提供官方 action GitLab CI——原生 include 模板 Bitbucket Pipelines——Atlassian Marketplace 中提供 pipe Jenkins——插件和流水线步骤 CircleCI——提供 orb Travis CI、TeamCity、Bamboo——通过 AquilaX CLI 或 API 集成 AquilaX CLI（aquilax scan）可通过一条命令添加到任何流水线——无需平台特定插件。

有。AquilaX 提供 IDE 集成，在您编写代码时内联显示安全发现——甚至在提交之前。支持的 IDE：VS Code——在 VS Code Marketplace 中提供 JetBrains IDE（IntelliJ IDEA、PyCharm、GoLand、WebStorm）——在 JetBrains Marketplace 中提供 IDE 插件内联显示发现的严重性、CWE 映射和 Securitron AI 修复建议，并可一键应用修复问题。

扫描结果提供以下格式：SARIF 2.1.0——GitHub 安全选项卡、GitLab 安全仪表板和大多数 SIEM 工具原生支持 JSON——通过 REST API 提供完整结构化输出 PDF——管理层和技术安全报告 CSV——用于基于电子表格的分析和工单工作流 HTML——用于离线分享的自包含扫描报告 所有输出均在每个发现中包含 CVE、CWE 和 OWASP ID 映射。

是。AquilaX 支持基于 webhook 与任何工单或告警系统集成。发现可自动推送到：Jira——创建包含完整发现上下文、严重性和修复指导的问题 Slack / Microsoft Teams——新严重发现的实时通知 PagerDuty——严重级别发现的告警 Splunk、Elastic SIEM——通过 SARIF 或 JSON webhook 输出 自定义 webhook——任何 HTTP 端点

AquilaX 将发现映射到以下合规框架，并为每个框架生成可供审计的报告：OWASP Top 10——10 个最关键的 Web 应用安全风险 CWE Top 25——25 个最危险的软件弱点 CVE 数据库——实时漏洞跟踪 PCI DSS——支付卡行业数据安全标准 ISO 27001——国际信息安全管理标准 SOC 2——服务组织控制（安全性、可用性、处理完整性、保密性、隐私）NIST CSF / 800-53——美国国家标准与技术研究院网络安全框架 DORA——欧盟数字运营韧性法案 NIS2——欧盟网络与信息安全指令 2 GDPR——通用数据保护条例（通过 PII 和数据处理发现）HIPAA——健康保险流通与责任法案 FFIEC——联邦金融机构检查委员会

能。AquilaX 生成 PDF 和 JSON 格式的合规报告，其结构适合安全审计人员。每份报告包括：执行摘要及整体合规态势评分 映射到特定框架控制 ID 的发现 修复状态和已应用修复的证据 显示安全改进随时间变化的扫描历史时间线 每个发现的开发者和仓库归属 报告可按需提供，并可安排按周期（每周、每月、每季度）自动生成，并通过电子邮件发送给利益相关者。

欧盟数字运营韧性法案（DORA）和 NIS2 指令要求金融实体和关键基础设施运营商证明对 ICT 安全风险（包括应用层漏洞）的主动管理。AquilaX 通过以下方式支持合规：对所有软件资产提供持续（而非单点）安全扫描 生成漏洞识别、风险评分和修复时间线的证据 在合规报告中将所有发现映射到 DORA 和 NIS2 控制类别 提供扫描结果、开发者审查操作和修复部署的不可变审计跟踪

对于云（SaaS）客户：您的代码通过 TLS 流式传输到 AquilaX 的扫描基础设施，在隔离的临时环境中进行扫描，扫描完成后不会持久化存储。仅存储扫描结果（发现项、元数据、文件路径和行号），而非源代码本身。对于本地部署客户：所有处理完全在您自己的基础设施内进行。AquilaX 不会接收任何数据——没有代码、没有发现项、没有遥测数据。

是的。AquilaX 本地部署在 Ultimate 和 Enterprise 计划中提供。分发方式包括：Docker Compose——适用于单主机或小团队部署；Kubernetes Helm chart——适用于生产级、水平扩展部署。完整的 AquilaX 平台——包括全部 32 个扫描器、Securitron AI 模型、仪表板和 REST API——均包含在本地部署包中。它在 CPU 上高效运行，无需 GPU。最低配置：8 vCPU、16 GB 内存、100 GB 存储。本地部署通过私有容器镜像仓库接收更新。初始设置后无需互联网访问。

不会。AquilaX 不使用客户源代码来训练共享 AI 模型。您的代码被扫描后即被丢弃。每个客户的 Securitron Review Model 基于匿名化的发现项元数据（而非源代码）和您团队的分诊反馈进行训练——这些数据绝不会与其他组织共享。对于本地部署，所有 AI 模型推理均在本地运行。不会向 AquilaX 或任何第三方发送数据。

AquilaX 言行一致——AquilaX 平台在每次提交时都会自我扫描。公司正在申请 ISO 27001 认证，并每年进行第三方渗透测试。该平台托管在 SOC 2 Type II 认证的云基础设施上。AquilaX 是 NVIDIA Inception 和 Microsoft for Startups 计划的成员，并持有官方 GitLab Technology Partner 身份。

AquilaX 在连接您的源代码平台时请求最低必要权限：对仓库内容的读取权限（用于扫描）；对拉取请求的写入权限（仅在您启用自动修复 PR 时）；Webhook 访问权限以接收推送事件并自动触发扫描。您可以随时从源代码平台的 OAuth 应用设置中撤销访问权限。AquilaX 不以明文存储 OAuth 令牌——它们使用 AES-256 进行静态加密。

AquilaX 由 AquilaX LTD 运营，该公司在英格兰和威尔士注册。注册地址：124 City Road, London, EC1V 2NX, United Kingdom。您可以通过 admin{@}aquilax.ai 联系团队。该平台服务全球客户，云基础设施托管在欧盟，以符合 GDPR 数据驻留要求。

AquilaX是一款基于人工智能的应用安全平台，主要功能是通过32个并行扫描器来检测和消除高达93.54%的误报，从而提高应用安全性。

AquilaX适用于需要持续监控和保障应用安全性的各种场景，包括但不限于开发环境、测试阶段以及生产部署，特别适合大型企业或对安全性要求极高的组织。

AquilaX采用了32个并行扫描器来优化误报率，并通过人工智能技术实现了高效的自动化安全检测能力。其核心技术特点包括高精度的误报消除机制和强大的并行处理性能。