Harness lanserer AI‑agenter for å skanne, triagere og reparere sårbarheter med maskinhastighet

Harness, selskapet fra San Francisco som leverer programvareplattform, lanserte en pakke med AI‑sikkerhetsagenter 19. august 2026 – AI‑SAST, agentbasert triage og utbedring, en dedikert Zero‑Day‑agent og virtuell patching – utviklet for å komprimere gapet mellom å finne en sårbarhet og levere en fiks fra uker til timer.

Argumentet hviler på en asymmetri som forsvarere stadig taper. I Harness sitt tekniske innlegg som beskriver lanseringen, viser selskapet til Edgescan 2026 Vulnerability Statistics Report som har en gjennomsnittlig reparasjonstid på 55 dager, mens angriperes tidslinjer (målt av Zero Day Clock) har nådd første utnyttelse så raskt som seks timer etter offentliggjøring. Selv etter at en fiks er skrevet, viser DORA‑rapporten fra 2025 at tiden fra commit til produksjon er over en uke. Forsvarere lukker et vindu målt i timer med en prosess som tar uker.

Frontier‑modeller presser nå på begge sider av dette gapet. LLM‑basert skanning avdekker langt flere funn enn tradisjonell statisk analyse – partnere i Anthropic sitt Project Glasswing, som gir sikkerhetspartnere tilgang til Claude Mythos Preview‑modellen for å jakte på sårbarheter i kritisk programvare, så omtrent ti ganger flere sårbarheter i testene. Men synlighet uten behandling er bare en større etterslep: Comcast, en Glasswing‑deltaker, fant at 44 % av deres kritiske og høyrisiko LLM‑funn var falske positiver, og kun 36 % av de kritiske og 33 % av de høyrisiko funnene ble bekreftet som utnyttbare.

«Vi er på et punkt hvor de samme AI‑modellene som hjelper kundene våre med å levere programvare raskere, også blir brukt av angripere for å finne og utnytte sårbarheter raskere», sa Rahul Sood, Harness sin General Manager for Application Security, i selskapets kunngjøring. «Den eneste måten å lukke dette gapet på er å gjøre sikkerhet til en førsteklasses del av leverings‑pipeline‑en selv.»

Hva agentene faktisk gjør

Skanningslaget deler bevisst forskjellen mellom deterministisk og probabilistisk analyse, et bemerkelsesverdig designvalg gitt bransjens nåværende entusiasme for å rette LLM‑er mot kodebaser. Harness sin AI‑SAST kombinerer en deterministisk dataflyt‑motor med et AI‑tillitslag som klassifiserer hvert funn som bekreftet risiko, potensiell risiko eller kontekstuelt trygt. Selskapets egne benchmark‑tester mot OWASP Java‑korpuset hevder at laget reduserte falske positiver med 79 % (fra 454 til 95) og økte presisjonen fra 74 % til 93 % samtidig som de beholdt 91 % tilbakekalling. For usikre direkte objektreferanser (en brutt tilgangskontroll‑klasse som dataflytanalyse strukturelt ikke kan se, siden det ikke finnes feilaktig input å mønstre‑matche), hevder Harness 71 % tilbakekalling ved 99 % presisjon over et korpus på 390 tilfeller i Go, Java og Python. Dette er leverandør‑benchmarker, selvrapportert, men argumentet er solid: en probabilistisk skanner som gir forskjellige funn på samme kode to ganger, med en token‑kostnad per skanning, passer dårlig for kontinuerlig CI/CD‑gate‑kontroll. Harness posisjonerer i stedet LLM‑skanning for engangs‑jakt og tilbyr LLM Scan Orchestration for team som vil kjøre sine egne LLM‑skannere native i pipeline.

Nedstrøms prioriterer Triage‑Agenten funn ved å kombinere CVSS, EPSS og rekkeviddeanalyse: Harness sporer nå kallestier til den spesifikke sårbare funksjonen, slik at en avhengighet kun flagges dersom den eksakte funksjonen er tilgjengelig. Remediation‑Agenten skriver deretter en fiks, validerer den i pipeline for å unngå at bygninger brytes, og åpner en menneskelig gjennomgått pull‑request. Utviklere beholder merge‑myndigheten.

Zero‑Day‑Agenten er delen som er rettet direkte mot seks‑timer‑problemet. Den overvåker nyutgitte zero‑day‑sårbarheter, identifiserer hvert berørt artefakt og pipeline i en kundes miljø (blast‑radius‑kartleggingen selskapet sier reduserer fra dager til sekunder) og produserer en validert fiks klar for gjennomgang, og hopper helt over triage‑køen. Virtuell patching dekker det resterende vinduet: når API‑testing oppdager en sårbarhet, distribuerer Harness en beskyttelsesregel på sin web‑applikasjons‑ og API‑beskyttelseslag uten kodeendringer, og beskytter produksjonen innen minutter mens den permanente fiksen skrives, for så å fjerne patchen når fiksen er levert.

Alle de seks funksjonene er nå tilgjengelige i Harness‑plattformen, med utbedrings‑ og zero‑day‑agentene som utnytter pipeline‑ens eksisterende styringsmekanismer: policy‑gate, godkjenninger og kjede av ansvar for hvert artefakt.

Harness sin oppbygging mot agentbasert AppSec

Lanseringen utvider en sikkerhetsbue som startet da Harness fusjonerte med API‑sikkerhetsfirmaet Traceable i februar 2025, en avtale som satte Traceable‑medgründer Sanjay Nagaraj i ledelsen for det sammenslåtte selskapets applikasjonssikkerhetsvirksomhet. I juli 2026 leverte selskapet Agent DLC, et styringslag for AI‑agent‑utviklingslivssyklusen: primitiv skanning, en AI‑bill of materials, agent‑oppdagelse og en AI‑brannmur som håndhever policy mot prompt‑injeksjon og verktøymisbruk i kjøretid. Dager senere utvidet sitt Kong‑partnerskap for å skyve AI‑oppdagelse og beskyttelse inn i Kongs AI‑Gateway, og katalogiserte hver modell, MCP‑server og verktøy som ble rutet gjennom den.

Unite.AI har sporet den samme akselerasjonen på den offensive siden, fra Claude som gjorde en cyber‑benchmark om til tre ekte inntrengninger til IBMs funn om at AI spilte en rolle i én av fire ondsinnede brudd, og på den defensive siden, OpenAIs Daybreak‑cybersikkerhetsmodeller som lander på Amazon Bedrock. Harness sin innsats er at reparasjons‑pipeline, ikke bare deteksjon, er stedet hvor maskinhastighet må komme neste.

Om agentene som skriver sine egne fikser får tillit fra store virksomheter vil avhenge av validerings‑harnessen rundt dem, en leksjon forsterket da Copilot Autofix åpnet en shell‑injeksjon i Snowflakes CI/CD‑pipeline. Harness sitt svar er arkitektonisk: agentene foreslår, pipeline validerer, og et menneske merger.