Asistente de guiones▸ 
Apps AI 
Noticias AI 
Corgea: Escaneo y corrección de seguridad de código SAST basado en IA
Corgea: Escaneo y corrección de seguridad de código SAST basado en IAIntroducción
Corgea es una herramienta de detección de seguridad SAST, capaz de descubrir vulnerabilidades de lógica de negocio, vulnerabilidades de lógica de código y otros problemas de seguridad. Puede detectar inyecciones SQL, ataques de cross-site scripting (XSS), con una tasa de falsos negativos muy baja (no superior al 5%), y repara automáticamente el 74 % de los problemas de seguridad, ahorrándole a cada persona unas 6 horas semanales. Es compatible con múltiples lenguajes como Java y Python, y también ofrece sugerencias de reparación de código, gestión de políticas y funciones de reglas de bloqueo.
Módulos funcionales
Detección de vulnerabilidades: es capaz de identificar vulnerabilidades de lógica de negocio, como la omisión de autenticación; vulnerabilidades de lógica de código, como inyecciones SQL, cross-site scripting (XSS), deserialización insegura; así como credenciales hardcodeadas y exposición de información sensible.
Optimización: filtra un buen número de falsos positivos, reduciendo aproximadamente el 30 % de los tickets, con una tasa de falsos positivos controlada por debajo del 5 %.
Reparación automática: el 74 % de los problemas de seguridad se reparan automáticamente, y también ofrece sugerencias de modificación de código, como convertir un problema de inyección SQL en una consulta parametrizada, lo que permite ahorrar a los desarrolladores más de 6 horas semanales.
Soporte multilenguaje: compatible con lenguajes y frameworks como Java, JavaScript, TypeScript, Go, Python y C#.
Escaneo y análisis: utiliza el motor Corgea-Blast para escanear el código; los informes incluyen la gravedad de las vulnerabilidades (Critical/High/Medium/Low) y el estado de la reparación.
Políticas y reglas de bloqueo: permite definir políticas de negocio en lenguaje natural, como requisitos de cifrado de datos sanitarios, y también configurar reglas de bloqueo que detengan la fusión de código no conforme.
Integración y experiencia de desarrollo: se integra con GitHub y Azure DevOps (GitLab y Bitbucket también serán compatibles en el futuro), y las reparaciones de código pueden enviarse directamente al IDE.
Casos de uso
Prevención de vulnerabilidades: detecta vulnerabilidades antes de confirmar el código, como la vulnerabilidad de omisión de autenticación en el proyecto pygoat, de modo que los atacantes o quienes realizan pruebas de penetración no puedan descubrirlas.
Mejora de la eficiencia: genera automáticamente código de reparación, como convertir consultas SQL hardcodeadas en consultas parametrizadas, ahorrando mucho trabajo de reparación manual.
Gestión del cumplimiento: mediante políticas personalizadas que se ajustan a la arquitectura empresarial, como requisitos de comunicación en redes privadas o normas de uso de ORM, reduce el riesgo de incumplimiento.
Cómo usar
Instalación e integración: compatible con la aplicación de GitHub, el complemento de Azure DevOps y la herramienta CLI (npm install -g corgea-cli).
Configuración del escaneo: configurar las reglas de escaneo a través del archivo .corgearc, compatible con múltiples lenguajes (como JavaScript, TypeScript) y categorías de reglas (como autenticación).
Flujo de reparación: crea automáticamente un PR de reparación; el desarrollador lo revisa y lo fusiona, y se realiza un seguimiento del estado de la vulnerabilidad.
Ventajas y desventajas
Ventajas:
Tasa de detección de vulnerabilidades aumentada en un 74 %.
Tasa de falsos positivos baja, inferior al 5 % (la media del sector es del 30 %).
Soporte para múltiples lenguajes (Java, JS, Go, Python, etc.).
Filosofía de diseño centrada en el desarrollador.
Desventajas:
Por el momento no admite lenguajes móviles (Kotlin/Swift).
El precio de partida de la versión empresarial es elevado.
El despliegue local (on-premise) solo está disponible en la versión empresarial.
Planes de precios
Plan gratuito: 2 repositorios, 10 escaneos de PR y 10 reparaciones automáticas al mes.
Plan Inicial ($14): 5 repositorios, 30 escaneos de PR y 50 reparaciones automáticas al mes.
Plan Crecimiento ($29): 10 repositorios, 150 escaneos de PR al mes y reparaciones automáticas ilimitadas.
Plan Escala ($49): repositorios ilimitados, escaneos de PR ilimitados, reparaciones automáticas ilimitadas, compatibilidad con escaneo de código malicioso y gestión de SLA.
Plan Empresarial: repositorios ilimitados, escaneos de PR ilimitados, reparaciones automáticas ilimitadas, compatibilidad con escaneo de código malicioso, gestión de SLA y modelo de IA privado.
