LATIDIA · Ciberseguridad

Cómo los agentes de seguridad SAST deterministas y de IA se reparten el trabajo: cobertura, políticas de arqueo y costes en Snyk VulnBench 2.0

arXiv:2610.38617v1 Anuncio Tipo: nuevo Resumen: Nos preguntamos qué encuentran los agentes de codificación de IA y los sistemas de seguridad de IA que las pruebas de seguridad de aplicaciones estáticas deterministas (SAST) no encuentran, y qué se les escapa que SAST sí detecta. Vu

La noticia

arXiv:2610.38617v1 Announce Type: new Abstract: We ask what AI coding agents and AI security harnesses find that deterministic static application security testing (SAST) does not, and what they miss that SAST catches. VulnBench 2.0 is a benchmark of 108 hand-curated, attacker-reachable vulnerabilities in 20 open-source web applications in Go, JavaScript/TypeScript, Python and Java; 62 flow across more than one file. A finding is credited only if it locates the vulnerability's attacker-controlled source and its dangerous sink, each within two lines. We evaluate nine productized configurations under one blind protocol: the Snyk Code static analyzer, Claude Code's /security-review with three model and effort settings (one with the Snyk MCP server), Codex