В индустрии разработки снова шум: на этот раз пророчат смерть AppSec (безопасности приложений). Поводом стали анонсы OpenAI Codex Security и Claude Code Security. Хайп такой, что некоторые эксперты уже готовят черные костюмы для похорон традиционных сканеров, утверждая, что AI-агенты сделают их ненужными.

Но давайте притормозим. Мы это уже проходили.

История повторяется: SAST уже «умирал»

Вспомните 2017 год: принц Гарри обручился с Меган Маркл, из каждого утюга играла «Despacito», а эксперты в один голос заявляли, что SAST (статический анализ кода) мертв. Мол, он слишком медленный для CI/CD и не успевает за современными угрозами. Его должны были заменить IAST и DAST.

Прошло почти десять лет. SAST не просто жив, он стал фундаментом современных платформ безопасности, интегрировавшись с анализом цепочек поставок (SCA) и проверкой инфраструктуры как кода (IaC). Инструменты безопасности редко исчезают — они эволюционируют в более широкие платформы.

На что реально способны Codex и Claude Code?

Новые инструменты от OpenAI и Anthropic — это огромный шаг вперед. Как вайбкодеры, мы уже оценили их мощь в написании кода, а теперь они приходят в безопасность.

Их сильные стороны:

• Семантическое понимание: Они понимают контекст и логику кода лучше любого регулярного выражения.
• Автоматическое исправление: AI не просто находит баг, но и предлагает готовый патч.
• Снижение шума: Благодаря логическим выводам (reasoning) количество ложноположительных срабатываний должно сократиться.

Однако Codex Security (который пока находится в стадии research preview) и Claude Code сфокусированы в основном на анализе репозитория.

Почему AppSec никуда не денется

Несмотря на крутость AI-агентов, безопасность — это не только код в файле. AI пока плохо справляется с:

• Рисками в рантайме (исполнении кода);
• Новыми уязвимостями в цепочке поставок (supply chain);
• Ошибками конфигурации инфраструктуры после деплоя;
• Соблюдением корпоративных политик и комплаенса.

«Будущее AppSec — гибридное: AI-рассуждения в сочетании с детерминированным анализом безопасности».

Что это значит для вайбкодеров?

Для тех, кто строит продукты с помощью Cursor, Windsurf или Claude Code, это отличные новости. Инструменты станут умнее. Вместо того чтобы вручную разгребать отчеты сканеров, мы получим «умных рецензентов», которые будут ловить уязвимости прямо в процессе генерации кода.

Но не стоит думать, что можно полностью делегировать безопасность нейронке. AI-агенты — это мощный усилитель, а не замена системному подходу. Скорее всего, мы увидим слияние: традиционные платформы вроде Checkmarx уже внедряют агентские возможности в свои пайплайны.

Вердикт: Слухи о смерти AppSec сильно преувеличены. Мы просто переходим от классического SDLC к ADLC (AI Development Life Cycle), где агентская безопасность станет стандартом, но не единственным барьером.