AI SASTAV
AI-анализ
Проверена версия 0.8.1. AI SASTAV отделён от базового SASTAV. Без модели семантический этап отключается, детерминированный анализ продолжается; одинаковое качество этих режимов не подразумевается.
Обзор класса / Безопасность кода
Российские SAST и статические анализаторы кода
Для чего нужен анализ кода на уязвимости, как выбрать инструмент под стек и встроить проверку в разработку.
Документальный срез — 4 октября 2026
Уточнения 6 октября: у DerScanner ограничения инкрементального анализа зависят от режима сборки. По AI SASTAV уточняется расхождение документа и ответа разработчика об автономной работе; будущий SSO не включён в текущие функции.
Когда нужен статический анализ кода
SAST помогает находить потенциально опасные конструкции и потоки данных до выпуска приложения. Его используют при разработке собственного ПО, проверке изменений и приёмке кода подрядчиков. Проверки полезно запускать регулярно, пока разработчик помнит контекст изменения.
Результат анализа — список находок для проверки, а не гарантия безопасности приложения. Поддержка языка, качество моделей библиотек и возможность собрать проект влияют на результат. Бизнес-логику, работающую среду и эксплуатационные настройки проверяют отдельными методами.
Решения этого класса
10 решений · по названию. Назначение и состав поставки различаются; плитки ведут к сравнению возможностей.
SAST, DAST и SCA: разные задачи
| Метод | Входные данные | Задача | Что уточнить |
|---|---|---|---|
| SAST | Код, поддерживаемый байткод или представление сборки | Потенциальные уязвимости и потоки данных | Языки, сборка, модели библиотек |
| DAST | Работающее приложение | Поведение доступных интерфейсов | Авторизация, охват маршрутов, тестовая среда |
| SCA | Манифесты, зависимости, SBOM | Известные проблемы сторонних компонентов | Экосистемы, транзитивность, актуальность базы |
Поиск секретов, оценка качества кода и динамический анализ могут входить в отдельные модули. Сверяйте лицензию и документацию каждого компонента.
Языки, компиляторы и требования к сборке
Для C/C++ уточните компиляторы, стандарт языка, макросы и перехват полной сборки. Для Java и Kotlin — версии JVM, байткод, зависимости и наличие исходников. Для Python, JavaScript и TypeScript — поддерживаемый синтаксис и модели используемых фреймворков. Для 1С — конкретные виды проверок и конфигурации.
Buildless-режим удобен, но его охват может отличаться от анализа подготовленной сборки. Кэш, сравнение старого и нового отчёта и анализ только изменённых файлов — разные возможности. В матрице они описаны с условиями.
Как выбрать SAST под свою разработку
- Соберите список языков, версий, компиляторов, фреймворков и способов сборки.
- Определите сценарий: универсальный анализ, мобильные приложения или экспертное исследование кода.
- Проверьте CLI/API, CI/CD, IDE, права доступа, обработку находок и перенос истории.
- Уточните лицензию, серверы и агенты, обновления и работу в закрытом контуре.
- Сравните 2–3 решения и проведите одинаковый пилот на репрезентативном коде.
Внедрение SAST в CI/CD и Quality Gate
Начните с наблюдения: запустите анализ без блокировки выпуска, проверьте находки и зафиксируйте исходное состояние — baseline. Затем согласуйте, какие новые подтверждённые проблемы должны останавливать сборку, кто разбирает спорные случаи и как оформляется исключение.
Наличие интеграции с Jenkins или GitLab ещё не подтверждает блокировку сборки. Нужны ожидание результата, корректный код завершения и правила обработки ошибок сканера. Отдельно проверьте, считается ли порог по всем находкам или только новым, и не превращается ли сбой анализа в успешную проверку.
Не переносите настройки без проверки между проектами: для старой кодовой базы, нового сервиса и мобильного приложения допустимый процесс может различаться. Регламент безопасной разработки связывает инструменты с ответственными и доказательствами выполнения проверок.
Каталог российских SAST и области применения
AppSec.Sting
Мобильные приложения
Проверено руководство 2025.11 для Android и iOS. Собственный статический анализ отделён от динамического анализа и внешних сканеров. Загрузка готового SBOM не означает автоматическое построение SBOM для любого приложения.
AppSec.Wave
Универсальные анализаторы
Документация проверена до версии 26.3.5. Корпоративный SSO для веб-интерфейса не означает SSO для CLI/API. Интеграция с агентом через MCP не приравнена к самостоятельному плагину IDE.
DerScanner
Универсальные анализаторы
Проверены технические разделы портала. Точный номер релиза не установлен. Сервер, агенты анализа и Builder имеют разные требования; просмотр отчёта и инкрементальный анализ не приравнены друг к другу.
PT Application Inspector
Универсальные анализаторы
Проверена Enterprise Edition 6.2.0. Языковые ограничения, движки и дополнительные виды анализа различаются. Поддержка Scala в разделах документации расходится; это отмечено в матрице.
PVS-Studio
Универсальные анализаторы
Анализатор и PVS-Studio Atlas рассматриваются отдельно. Atlas доступен в публичном EAP с 1 сентября 2026. Импорт SARIF, завершение Scanner по Quality Gate и изоляция проектов ещё в работе; экспорт SARIF анализатора — отдельная доступная функция.
Solar appScreener
Универсальные анализаторы
Проверены руководство 3.14.14 и технический документ 3.15. Они не подтверждают автоматически новую поставку 3.16. SAST, анализ зависимостей и другие модули разделены.
Svace / Svacer
Универсальные анализаторы
Для анализатора использовано руководство 5.0.260525. Возможности сервера Svacer описаны отдельно; его версию и совместимость нужно уточнять. Экспериментальные функции не выданы за общедоступные.
АИСТ-С
Экспертный анализ
Проверены инструкции установки и работы, опубликованные в 2026 году без номера версии. Это экспертный инструмент анализа C/C++; доступный комплект не подтверждает все функции современной платформы DevSecOps.
АК-ВС 3
Экспертный анализ
Проверено руководство 3.4.2, полученное от технической поддержки 05.10.2026. Обновлены языки, taint-правила, подавление дефектов, SARIF, закрытый контур и анализ зависимостей Java. Приватное вложение не размещается на сайте.
Смежные инструменты: CodeScoring
CodeScoring сохранён в обзоре как смежное решение: проверенная документация описывает SCA, Secrets, OSA и TQI. Анализ зависимостей, секретов и метрик качества полезен в разработке, но не подтверждает универсальный SAST. Поэтому продукт не включён в общую матрицу из 10 анализаторов.
Частые вопросы
Что такое SAST и статический анализ кода?
SAST ищет потенциальные уязвимости в исходном коде или поддерживаемом промежуточном представлении без выполнения приложения. Поддержка языка зависит от его версии, компилятора, библиотек и настроек анализа. Найденную проблему нужно проверить в контексте приложения.
Чем SAST отличается от DAST и SCA?
SAST исследует код, DAST проверяет работающее приложение, SCA анализирует сторонние зависимости. Они закрывают разные задачи. Наличие нескольких модулей у одного поставщика не означает, что все входят в выбранную лицензию.
Можно ли анализировать Python, C/C++ и 1С одним инструментом?
Это зависит от точного стека и поставки. Сверяйте версии языков, требования к сборке и типы проверок, затем запускайте анализ на своих проектах. Общая строка «язык поддерживается» не гарантирует одинаковую глубину обнаружения для всех языков.
Нужна ли сборка проекта для SAST?
Некоторые анализаторы перехватывают сборку или требуют зависимости и байткод; другие работают без сборки с отдельными ограничениями. Проверьте доступность компилятора, пакетных репозиториев и генерацию кода в закрытом контуре.
Как выбрать российский аналог SonarQube, Checkmarx или Fortify?
Сначала выпишите реально используемые проверки, языки, правила, CI/CD, историю подавлений и права доступа. Сравнивайте эти требования в точных версиях. Контроль качества кода, безопасность кода и SCA могут иметь разный состав даже в продуктах одного класса.
Что влияет на стоимость внедрения SAST?
Лицензия — только часть затрат. Учитывайте подготовку сборок, агентов и хранилищ, настройку правил, разбор срабатываний, перенос истории и обучение разработчиков. Условия подсчёта кода, проектов и пользователей уточняйте для выбранной поставки.