在美国联邦调查局数据显示美国互联网犯罪损失接近210亿美元之际，硅谷网络安全初创公司Cyfendo正利用AI帮助小型企业发现软件漏洞、调查真实威胁，并在开发者批准前准备经过测试的修复方案。

加州山景城，2026年10月15日 /PRNewswire/ —— 攻击者不需要一个团队，只需要一个AI编码代理、操作指令和一套工具。根据谷歌威胁情报小组2026年9月8日的报告，一名疑似网络犯罪分子在不到6小时内，利用一个支持AI的框架，从被攻陷的云基础设施发起了一场大规模凭证收集行动，规划、构建并运行整个攻击流程。数千个第三方登录凭证因此泄露。

这场攻击显示出，攻击者能在短短几小时内组织起多大规模的行动。对于一家小企业来说，下一条安全警报可能会落到某一位开发者的桌上，而他同时还要处理客户支持请求和软件更新。Bryan Vuong希望让这类调查工作不再那么困难。

硅谷网络安全公司Cyfendo的创始人兼首席执行官Bryan Vuong，此前曾在谷歌和Facebook负责工程工作。他的公司利用AI辅助源代码分析，帮助开发者检查潜在漏洞，在工具支持的情况下调查其是否可被利用，并在任何改动获批前评估拟议的修复方案。其目标是，让规模较小的团队也能拥有通常只有大型科技公司内部才具备的调查能力。

Bryan Vuong表示：“让我担心的是，攻击能力越来越强，而普通企业用于防御的资源之间存在巨大差距。我创办Cyfendo，是为了帮助他们保护自己辛苦建立起来的一切。”

网络犯罪的代价，以及面临风险的企业

美国联邦调查局《2025年互联网犯罪报告》记录了1,008,597起投诉，以及包括欺诈在内的互联网犯罪约208.8亿美元报告损失。与此同时，美国小企业管理局统计，2025年美国约有3,620万家小企业，其中超过430万家位于加利福尼亚州。

小企业依赖软件来接单、处理付款、预约服务并存储客户记录。当一次扫描标记出问题时，负责维护应用程序的人必须判断攻击者是否能够利用该问题、哪些信息面临风险，以及如何在不破坏客户依赖功能的前提下完成修复。这项工作还要与支持请求和下一次版本发布竞争时间。

AI可以构建应用程序，谁来检查它的安全性？

AI编码工具可以帮助餐厅上线在线点餐系统，帮助承包商搭建客户门户，或帮助创业者在不雇用传统开发团队的情况下构建应用。举例来说，一家小型分销商让客户通过门户下载发票。某位客户只需修改发票URL中的一个数字，就能打开另一位客户的账单记录。网站看起来一切正常，登录也能成功，普通测试可能看不出任何问题。错误出在访问规则上——本应把不同客户的发票隔离开来。

其他漏洞同样难以发现。数据库查询可能会向合法用户返回正确信息，却在处理恶意输入时出错。一个新接入的服务可能拥有超出所需范围的访问权限。这些错误都不必打断正常交易流程，也足以让企业暴露在风险之中。

一个完成的应用程序也可能经过多个工具之手。开发者可能先在Lovable中开始项目，再用Cursor修改代码，接入Supabase处理身份验证和存储，在GitHub中跟踪版本，并将项目部署到其他地方。每项服务都有自己的安全控制措施，但在这些改动之后，不能假定某一项单独检查就能覆盖整个代码库。仍然需要有人去检查客户实际使用的软件。

Cyfendo表示，它在这些平台保护之外增加了代码级审查。开发者可以连接GitHub、GitLab或Bitbucket代码仓库，上传项目文件，或通过命令行操作。他们可以检查应用程序当前的实际状态，包括上线后新增的功能和集成。

发现漏洞只是第一步

扫描器可能会标记出一行可疑代码，却不会告诉开发者攻击者会如何利用它。仍然需要有人复现问题、判断严重程度、修正代码，并检查应用程序是否继续正常运行。

Cyfendo表示，在其工具支持的范围内，它把这些步骤串联起来。该平台会在源代码中追踪不受信任数据流向敏感操作的路径，运行隔离检查以调查漏洞是否可被利用，并准备一份代码补丁供审查。随后，它会对该发现以及相关应用行为重新测试。开发者可以查看证据，并决定是否接受拟议改动；Cyfendo不会将补丁直接合并到生产软件中。

Bryan Vuong表示：“无论企业规模大小，每家公司都应享有世界级的安全保护。保护你所建立的一切，不应取决于你是否负担得起一支专家团队。”

当负责一个由AI构建的应用程序的人，同时还要回复支持请求并交付新功能时，这种方式尤其有用。这名开发者可能非常了解业务本身，但未必有时间或训练去从零开始调查每一项安全发现。

根据Cyfendo自身的扫描数据，该公司平均在每个代码库中发现4个严重级别问题。大约十分之七的发现被评为高危或严重。这些结果来自Cyfendo扫描过的项目，并非对企业应用程序的代表性调查。Cyfendo称，这也解释了公司为何强调对发现结果进行调查并准备修复方案，而不是再给开发者增加一份警报清单。

Cyfendo还单独公布了其在标准化OWASP检测基准上的结果。根据其2026年9月的评估，公司报告称，在Java Benchmark v1.2（2,740个测试用例）上，召回率为94.06%，精确率为96.38%；在Python Benchmark v0.1（1,230个测试用例）上，召回率为90.04%，精确率为93.78%。召回率衡量的是已知漏洞案例中有多少被检测出来；精确率衡量的是被标记案例中有多少确实存在漏洞。Cyfendo表示，这些是公司自行报告的检测结果，并不代表OWASP的背书，也不是对自动化修复能力的独立验证。Cyfendo已公布其基准测试方法供外界审查。

Cyfendo的代码安全平台现已上线。其免费方案覆盖最多10,000行受保护代码，每月可进行5次扫描，提供详细发现结果和有限的补丁评估。付费自助订阅起价为每月99美元，包含自动生成可供审查的补丁，以及更高的扫描额度。公司另行提供的应用渗透测试服务目前仍处于面向部分企业的私测阶段，不包含在上述订阅中。

Bryan Vuong的职业经历：从AI研究到应用安全

Vuong的背景涵盖工程管理、机器学习和学术研究。2020年至2026年，他在谷歌担任AI与安全高级工程经理，从事涉及隐私、安全和保障的领域。更早之前，在现属Meta旗下的Facebook，他曾担任机器学习研究科学家和工程经理。

他拥有威斯康星大学麦迪逊分校计算机科学博士学位，研究方向包括数据库、信息抽取和数据集成；此前，他在新加坡南洋理工大学获得工程学学士学位，并以一等荣誉毕业。以Ba-Quy Vuong名义发表研究时，他曾参与关于非结构化信息和信息抽取系统中用户反馈的研究。他还被列为3项已授权美国专利的共同发明人，这些专利涉及搜索和信息处理，并被分配给与沃尔玛相关的实体。

2024年，Vuong共同创办了InnoSearch AI，这是一项面向盲人和低视力用户的在线购物服务。该服务帮助用户更顺畅地使用原本并不总是为他们设计的在线购物体验。通过Cyfendo，他正在解决另一种获取能力上的差距：较小的组织如今也能构建相当复杂的软件，但往往无法雇用评估其安全性所需的专业人员。

自动化分析无法取代健全的访问控制、及时更新或开发者本身的判断。但当一个安全问题原本需要专家介入调查时，它可以为小团队提供证据和一份可供审查的修复建议。

谷歌的调查显示，攻击者能在几小时内组织起怎样的行动。Cyfendo关注的是开发者在发现潜在弱点后所面临的工作：判断其是否可被利用、审查修复方案并检查改动结果。如今，更多小企业可以借助AI构建自己的应用程序；它们同样需要一种有效方式，去检查自己上线软件的安全性。

关于Cyfendo

Cyfendo Inc.是一家总部位于硅谷的应用安全公司，由Bryan Vuong创立。该公司的AI驱动平台结合了源代码分析、漏洞调查、在支持情况下进行的可利用性检查、拟议补丁以及重新测试。开发者可以连接代码仓库或上传项目，查看发现结果，并批准或拒绝拟议的代码变更。公司提供免费和付费的代码安全订阅服务；另行界定范围的应用渗透测试目前处于面向部分企业的私测阶段。

用AI构建，用Cyfendo验证。

关于Bryan Vuong

Bryan Vuong，也被称为Ba-Quy Vuong，是Cyfendo的创始人兼首席执行官。他的经历包括在谷歌和Facebook从事工程与机器学习管理工作，拥有威斯康星大学麦迪逊分校计算机科学博士学位，参与学术研究，并作为共同发明人拥有3项已授权美国专利，这些专利被分配给与沃尔玛相关的实体。他此前还共同创办了面向盲人和低视力用户的无障碍电商平台InnoSearch AI。

媒体联系人：Wendy Nguyen，（650）262-6576