Ускорение и точность. Как меняются SAST-инструменты в эпоху быстрой разработки
Ускорение — важный тренд мировой разработки ПО, в том числе — российской. Объем российского ИТ-рынка, по прогнозам экспертов, в 2026 году превысит 4,5 триллиона рублей. В условиях непрерывной интеграции и DevOps современным разработчикам ПО критически важно, чтобы инструменты статического анализа кода (SAST) отвечали требованиям бизнеса по скорости и удобству. Запрос 2026 года, пожалуй, можно обозначить как: еще быстрее и разложить по полочкам.
На первый план у ИБ-команд компаний-разработчиков вышли высокая скорость анализа, минимальное количество ложных срабатываний и интуитивно понятный процесс триажа. Однако сегодняшние запросы рынка идут дальше: ключевым становится требование к гибкости и адаптивности платформы. Именно эта потребность легла в основу амбициозной задачи по созданию для российского ИТ-сектора универсального SAST-решения, которое не только находит уязвимости, а органично встраивается в рабочий процесс, позволяя бесшовно интегрировать безопасность в цикл разработки. Совмещая скорость, качество и адаптивность, SAST-решения становятся естественной частью рабочего процесса, обеспечивая безопасность без потери темпа разработки.
Основной тренд последних полутора лет — активное внедрение в разработку генерируемого ИИ-кода. Массовое распространение вайб-кодинга требует серьезного ускорения и усиления кибербезопасности.
AppSec Solutions для этой задачи разработал универсальный SAST — AppSec.Wave, отличительной чертой которого является высокая скорость сканирования. Основные векторы развития AppSec.Wave — скорость анализа, качество и удобство триажа уязвимостей.
AppSec.Wave поддерживает множество языков программирования, включая JavaScript, Python, Go, C++, Java, PHP, Ruby, C# и другие. В 2026 планируется добавить и язык 1С, широко используемый отечественными компаниями.
Современная архитектура и агентская модель предполагают полный функционал и добавление любого количества агентов, это удобно для любого размера бизнеса. Менеджмент может подключить к процессу разработки 30+ команд, которым будет вполне комфортно работать совместно. Помимо этого, анализатор дает возможность добавлять кастомные правила, позволяя ИБ-команде настраивать SAST с учетом потребностей бизнеса. Система анализирует код не только по шаблонам, как опенсорс-решения статического анализа, но и использует усовершенствованный taint-анализ, который позволяет определить источник, например, SQL-инъекции, и проследить все части системы, на которые она повлияла. Команда разработчиков будет работать над качеством анализа и прохождением всего AST-дерева для полноценного поиска уязвимостей. Также AppSec.Wave позволяет отключать предустановленные правила из комплекта поставки на усмотрение пользователя, а заниматься отладкой новых правил можно в самом сканере, не заполняя очередь реальных проектов. Также поддерживается импорт отчетов и правил из других сканеров, что важно при переходе с импортных SAST-инструментов на российское ПО.
Инструмент позволяет удобно группировать отчеты, а также импортировать их из сканеров других решений, чтобы собирать данные по уязвимостям воедино. История изменений при этом сохраняется. Среди функций: поддержка инкрементального анализа, групповая обработка результатов и интеграция с таск-трекерами. Сейчас разработчики AppSec.Wave работают над возможностью интеграции инструмента с MCP-сервером, который позволит сканировать код с помощью языковых моделей.