Capital One buka kode VulnHunter, pemburu bug agentic yang memeriksa temuannya sendiri

Capital One membuka kode VulnHunter, alat agentic yang memburu bug bisa dieksploitasi di dalam source code, bukan sekadar memindai pola yang sudah dikenal. Alat ini dirilis di bawah lisensi Apache 2.0 di GitHub, dan bank tersebut mengaku sudah menjalankannya di ribuan repo internal yang mencakup puluhan lini bisnis.

Bagian menarik dari desainnya adalah cara VulnHunter menangani false positive, alasan klasik kenapa scanner keamanan sering diabaikan. Setelah agent menandai kemungkinan kerentanan, sebuah "falsification engine" menjalankan tahap reasoning kedua yang tugasnya justru membantah temuan itu, mencari celah dan asumsi tanpa bukti sebelum sampai ke manusia. VulnHunter juga bekerja seperti penyerang: mulai dari entry point yang bisa dijangkau input luar lalu menalar maju melalui kode, bukan pendekatan lama yang mulai dari fungsi berbahaya lalu menelusuri mundur. Ketika akhirnya melaporkan bug, alat ini menyertakan perbaikan konkret dan penjelasan bagaimana celah itu bisa dieksploitasi.

Ada satu ketergantungan yang perlu dicatat. VulnHunter dibuat untuk berjalan di atas Claude Opus 4.8 di dalam Claude Code, meski Capital One menyebut framework-nya bisa disesuaikan ke model dan harness lain.

Kenapa ini penting

Kalau kamu menangani application security dalam skala besar, langkah falsification inilah yang patut dipelajari: ia menyasar banjir false positive yang membuat kebanyakan scanner otomatis jadi sumber gangguan, dan karena berlisensi Apache kamu bisa mencobanya di repo sendiri tanpa terikat vendor.