事件经过
Semgrep的2026年4月AppSec平台更新引入了AI驱动的Beta版检测功能，用于检测复杂的漏洞类别，包括不安全直接对象引用(IDOR)和破损授权——这些类别历来对基于规则的静态分析具有抗性。此次更新还增加了与开发者AI环境(Cursor、Claude Code)的直接集成，用于实时扫描，并将AI功能使用与信用额度限制和可见性控制相关联。
影响分析
AI驱动的代码生成大幅增加了进入生产环境的代码量；Semgrep的AI检测能力解决了安全工具缺口，在传统SAST难以跟上AI生成输出的情况下发挥作用。治理层(信用额度限制、AI功能控制)回应了企业对AppSec工作流程中无治理AI工具的担忧。
适用范围
使用Semgrep的工程主导安全团队和DevSecOps组织应该根据其IDOR和认证漏洞积压情况评估Beta版AI检测功能；使用Cursor或Claude Code进行开发的组织应该优先进行集成测试，以在AI辅助编码工作流程中启用实时扫描。