什么是人工智能分诊？

什么是 AI 分类？它是将 AI 驱动的分析应用于安全发现，这样团队就无法获得一长串警报，而是能够判断每个发现是真阳性（真实存在的问题）还是假阳性（实际上无法利用，或基于错误数据）。它不是另一个扫描器，而是位于扫描器输出之上的附加层，负责判断哪些发现真正值得开发人员关注。

理解什么是 AI 分类（以及 AI 分类在实践中的含义）至关重要，因为传统的替代方案——人工读取每个扫描器发出的每个结果——无法扩展。安全团队运行 SAST, SCA、秘密检测、 IaCAI Triage 和 DAST 并行生成的发现数量远远超过任何团队逐一审查的能力，而且其中很大一部分是误报，无需采取行动。本词汇表解释了 AI Triage 的概念、它如何应用于不同类型的发现，以及它为何对减少错误至关重要。 警觉疲劳。

AI分诊含义：快速定义 #

AI 分类评估的正式含义：利用人工智能技术对安全发现进行评估，并就该问题是否真实存在做出判断。 真阳性或假阳性.

该术语将“分诊”这一概念从医疗和事件响应领域（在工作量大于时间的情况下决定优先处理哪些事项）扩展到安全警报过载这一具体问题。传统的扫描器只会报告“这种模式与已知的风险模式相符。= AI Triage 会考虑周围环境、代码、配置、请求/响应证据等因素，并得出人类审核员原本需要手动得出的结论。

AI 分诊的实际含义是：在问题到达开发人员队列之前，它不再是一个扁平的、未区分的警报，而是变成了一个已确认或已忽略的项目。

它实际产生什么 #

每一项经初步筛选的发现都会得到一个结果。人工智能会判断该问题是否确为真正的漏洞（真阳性），是否确信它不是（假阳性，例如数据已被清理或代码路径不可达），或者无法得出确切结论（需要审查）。“需要审查”的结论是预期结果，而非失败：人工智能分诊系统旨在当证据不明确时，给出“我不确定”的回答，而不是妄加猜测。

为什么人工智能分诊对每种发现类型都不相同 #

要了解 AI 分类的更重要的一点是，它并不适用于每一种安全发现，因为误报会根据分类的内容而有所不同。

• 针对代码和配置方面的发现（SAST, IaC（秘密）。 AI Triage 直接根据周围的代码上下文进行推理，以决定标记的模式是否真的可被利用，并在判定结果旁边用纯文本解释推理过程。

• 对于开源依赖关系调查（SCA). 这里的判定问题有所不同：依赖项中已知的 CVE 要么适用，要么不适用，因此误报检测是通过可达性分析而不是传统的 AI 分诊判定来处理的。

• 动态测试结果（DAST）。 AI 分类依据运行时证据、实际请求和响应，而不是源代码，专门用于捕获动态扫描特有的误报模式：例如，Web 应用程序防火墙静默地阻止攻击，扫描器误将该阻止页面视为真正的漏洞，或者响应中反映的有效载荷实际上已被消除而不是可利用。

• 恶意软件扫描结果。 它的工作原理又有所不同：AI Triage 不是对单个发现做出判断，而是评估恶意软件扫描器生成的证据的置信度，并将其输入到整体项目级风险评分中，因此少量高置信度信号的得分与相同数量的弱、模糊信号的得分不同。

它在优先级排序工作流程中的位置 #

AI Triage 不是为了让人有选择地逐条阅读而设计的；它的设计目的是为了融入团队已经审查安全输出的相同环节。

• 针对特定发现单独进行分析。 开发人员或安全工程师可以打开一个问题，查看裁决及其背后的原因，这在决定是否信任某个特定的自动呼叫时非常有用。

• 批量处理，一次性处理多个调查结果。 与其一次处理一个问题，不如将一大批未解决的问题一起提交处理，这才是大多数团队清理积压问题的现实方法，而不是逐个审查问题。

• 作为自动化的一部分 pipeline. 分诊可以在扫描完成后立即自动运行，这样，当有人查看结果时，噪声已经被与值得他们关注的内容分离，而不是像以前那样，分诊是一个单独的手动步骤，需要有人记住运行。

• 作为更广泛的优先级排序流程中的一个阶段。 AI Triage 的判断结果并非独立存在，而是可以作为更大优先级排序过程中的一个筛选阶段，从而尽早过滤掉已确认的误报，只留下真正的结果进行进一步排序。

为什么人工智能分诊至关重要 #

AI Triage 解决的核心问题并非检测能力不足，而是警报数量过多且缺乏区分。现代应用安全程序并行运行多个扫描器，每个扫描器都使用各自的逻辑和置信度生成结果，并且对何为真实情况缺乏共识。如果没有分级审核层，所有这些结果都会以相同的权重呈现给人工审核人员，无论它是已被积极利用的关键漏洞，还是由于代码中模式匹配而产生的误报（而这些代码根本无人运行）。

这种数量庞大且缺乏区分的信息正是造成信息疲劳的根源。人们一旦信息量超过一定阈值，就会停止仔细阅读，这种现象已被广泛证实。信息疲劳不仅仅是效率问题，更是一个安全问题，因为真正重要的信息更容易被淹没在成千上万条无关紧要的信息之中。

AI Triage 直接弥补了这一差距，它对每一项发现都进行了人类审阅者原本必须进行的初步推理，并且明确地表达了自己的不确定性，而不是在证据不支持的情况下强行做出二元判断。

保护您的 Pipeline 利用 Xygeni 的 AI 分诊 #

Xygeni 的 AI 分诊功能直接集成到平台的优先级排序工作流程中，而不是作为附加报告。除了核心的真阳性/假阳性判断之外， 西吉尼 AI Triage 功能新增两个输出： 补救措施的紧迫性 （已确认的问题需要尽快处理，从立即处理到积压处理） 修复复杂性 （修复预计需要多少工作量，从简单的一行代码修改到复杂的跨领域重构）。这些信息结合起来，不仅能为团队提供一份更清晰的实际发现清单，还能提供一份现成的优先级排序表。

这份全面的评估、结论、紧迫性和复杂性报告是为……而撰写的 SAST, IaC，秘密， SCA以及DAST检测结果，并根据每种结果类型采用特定的分诊逻辑：基于可达性的假阳性检测 SCA，DAST 的请求/响应证据分析，以及代码上下文推理 SAST, IaC，以及秘密。

每个经过分类的发现都会被标记上其结论、紧急程度和复杂度，以便团队能够筛选并围绕真正重要的发现构建视图。此外，人工智能的推理过程会显示在每个结论旁边，而不是隐藏在黑箱评分背后。分类可以针对每个发现单独运行，也可以批量处理整个待办事项，还可以通过命令行界面按需运行，或者在扫描完成后立即自动运行。分类结果会直接导入到 Xygeni 的系统中。 SAST 以及 DAST 优先级排序漏斗，以便在开发人员看到之前过滤掉已确认的误报。

具体到恶意软件扫描，AI Triage 的工作原理有所不同：它会评估扫描产生的证据的置信度，并将其纳入项目的整体恶意性评分中，从而使少数强信号相对于更多弱信号获得适当的权重。

常见问题解答 #