Twoje narzędzie pisze kod, którego skaner zobaczy dopiero po fakcie

Do tej pory pilnowanie bezpieczeństwa kodu wyglądało prosto: programista pisze, wrzuca zmianę, a w pipeline CI/CD czeka skaner, który przegląda gotowy kod w poszukiwaniu dziur. Ten układ zakładał, że między napisaniem a sprawdzeniem jest człowiek, który wie, co robi. Agentowe pisanie kodu ten układ rozbija. Narzędzia takie jak Claude czy Cursor nie podpowiadają już tylko końcówki funkcji, tylko same planują zadanie, modyfikują repozytorium, dopisują testy, otwierają pull requesty i ruszają pliki konfiguracyjne infrastruktury. Skaner wciąż stoi na końcu, ale przed nim nie ma już człowieka, który by zauważył, że agent właśnie wygenerował ten sam podatny wzorzec po raz dwudziesty.

Z tej luki wyrósł nowy gatunek produktów, który Techloy, branżowy serwis o technologiach, w swoim zestawieniu siedmiu platform na 2026 rok nazywa platformami bezpieczeństwa agentowego pisania kodu. Na szczycie listy postawili Apiiro, opisując je jako narzędzie, które zamiast traktować każde znalezisko osobno, próbuje połączyć wygenerowaną zmianę z resztą systemu: czy rusza wrażliwy interfejs API, czy dotyka danych klientów, czy otwiera ścieżkę do czegoś, co działa na produkcji. Sama lista to jednak opinia redakcji, nie dowód z rynku. Nie ma w niej żadnych liczb, żadnego testu porównawczego, żadnego "ta platforma złapała o tyle więcej dziur niż tamta". Traktuję więc "najlepsza ogólnie" jak ranking redaktora, a nie jak werdykt, który coś rozstrzyga.

Ciekawiej robi się przy drugiej pozycji. Apiiro sprawdza zmianę, kiedy już powstanie, a Arnica, inny produkt z listy, w ogóle nie czeka na commit. Jej Agentic Rules Enforcer wstrzykuje reguły bezpiecznego pisania kodu prosto do narzędzi takich jak Claude, Cursor i Copilot, czyli w momencie, w którym kod dopiero powstaje. To inny model niż skanowanie po fakcie: zamiast łapać błędny wzorzec na końcu taśmy, próbujesz sprawić, żeby agent w ogóle go nie wygenerował. Dla zespołu, w którym ten sam agent dzień w dzień produkuje kod, to różnica między łataniem a uczeniem narzędzia, jak ma pisać. Czy to działa lepiej niż klasyczny skan, z tej jednej strony nie wyczytam. Ale kierunek jest sensowny i to on jest tu najważniejszą obserwacją, a nie sama czołówka listy.