Com Fusion, Triage Assist e Remediation Assist, a Checkmarx reforça uma abordagem integrada para apoiar o tratamento do backlog e acelerar a correção de riscos em aplicações.

O desenvolvimento assistido por inteligência artificial aumenta a capacidade de produzir software. Para as equipes de segurança, o desafio é acompanhar esse ritmo: analisar o código, investigar os resultados, definir prioridades e apoiar correções para que a vulnerabilidade não permaneça sem tratamento.

Quando essas etapas dependem de trabalho manual e informações dispersas, o backlog cresce. Desenvolvedores recebem achados sem contexto suficiente, AppSec dedica tempo à triagem e a organização encontra dificuldade para reduzir o tempo de exposição.

É nesse cenário que a Checkmarx apresenta a evolução de suas capacidades de segurança, conectando detecção, triagem e correção de vulnerabilidades ao fluxo de desenvolvimento.

Como Fusion, Triage Assist e Remediation Assist trabalham juntos?

A abordagem pode ser compreendida pelo fluxo Find → Triage → Fix: identificar, avaliar e corrigir. Cada componente contribui para uma etapa do trabalho.

Fusion amplia a análise de código

Checkmarx Fusion acrescenta uma camada de modelos de IA à arquitetura de análise da plataforma, com foco inicial em SAST, a análise estática de código.

Fusion complementa a base de Next-Gen SAST. Essa distinção ajuda a compreender tanto a contribuição técnica da novidade quanto suas condições de contratação.

Triage Assist ajuda a decidir o que exige ação

Depois da identificação, é necessário avaliar os achados. Triage Assist utiliza informações de contexto, alcançabilidade e explorabilidade para apoiar a classificação de findings elegíveis identificados pelas análises de segurança.

Essa etapa busca reduzir o esforço de investigação e ajudar as equipes a concentrarem atenção nos problemas que precisam de tratamento.

Remediation Assist apoia a correção

Remediation Assist oferece orientações e sugestões de mudanças no código. Em projetos e integrações suportados, também pode gerar pull requests de correção para revisão dos desenvolvedores.

A proposta aproxima o resultado da análise do trabalho de implementação. As alterações continuam sujeitas à revisão, aos testes e às regras de aprovação da organização.

O impacto esperado no backlog e no tempo de exposição

O valor operacional dessa combinação precisa aparecer entre a identificação de uma vulnerabilidade e a confirmação de seu tratamento.

Na avaliação da Nova8, quem analisa essas capacidades deve observar onde o processo perde eficiência e quanto isso custa em tempo e em segurança. O gargalo pode estar em confirmar os achados, definir responsáveis, concorrer com outras entregas ou implementar a correção.

Por isso, a avaliação deve acompanhar indicadores como:

• Tempo necessário para analisar e priorizar os achados.
• Tempo de permanência das vulnerabilidades prioritárias no backlog.
• Esforço para entender e implementar as correções.
• Tempo até a remediação verificada, usado para calcular o MTTR.
• Qualidade do contexto que chega a Segurança e a Desenvolvimento.

Menos achados não significam, por si só, mais segurança: a redução pode vir de menos falsos positivos ou de mais falsos negativos. A avaliação deve incluir a revisão, pelas equipes, do que foi descartado ou reclassificado..

O ganho deve ser demonstrado em aplicações representativas, com critérios comuns e participação das equipes que utilizarão a solução.

Orientação Nova8 para clientes atuais: planeje o consumo de créditos

A incorporação dessas capacidades exige atenção ao uso contratado. A Checkmarx descreve Fusion como um adicional opcional baseado em consumo de Checkmarx Credits. Recursos de AI Triage e AI Remediation também utilizam créditos.

A recomendação da Nova8 é combinar a avaliação técnica com o planejamento de consumo antes de ampliar a utilização. Clientes devem confirmar:

• Quais recursos estão contratados e habilitados.
• Quais regras de consumo se aplicam ao seu ambiente.
• Como o uso se relaciona ao saldo e às condições do contrato.
• Quais projetos devem compor a avaliação inicial.
• Como acompanhar consumo e benefício antes de expandir.

O Checkmarx One disponibiliza informações de saldo, tendências de utilização e estimativas de esgotamento, além de relatórios para investigar ações que consomem créditos. Esses dados ajudam a acompanhar a adoção e ajustar o planejamento.

Conheça a evolução da Checkmarx com a Nova8

Transforme a evolução da tecnologia em maturidade de AppSec

Fusion, Triage Assist e Remediation Assist ampliam as possibilidades de identificar, avaliar e corrigir vulnerabilidades. Para incorporar essas capacidades à operação, a empresa precisa conectar tecnologia, processos e equipes: quem define prioridades, quem implementa as correções e como os resultados são acompanhados?

Com dez anos de conhecimento acumulado em AppSec, a Nova8 apoia organizações na estruturação, operação e evolução da segurança de aplicações. Por meio do Centro de Excelência, nosso time de consultoria avalia a maturidade do ambiente, identifica lacunas e constrói um roadmap alinhado às necessidades do negócio.

Essa atuação pode começar pela estruturação da área, com definição de responsabilidades, processos e desenvolvimento da cultura de segurança. Para empresas que já possuem equipes e ferramentas, o apoio pode envolver reorganização dos fluxos, capacitação e melhoria contínua. O cliente conta com o conhecimento de um time multidisciplinar para desenvolver sua capacidade interna.

Conheça a plataforma Checkmarx e converse com a Nova8 para esclarecer as novidades e condições de uso, encontrar uma revenda parceira e contar com a Consultoria do nosso Centro de Excelência para desenvolver seu programa de AppSec.

Outros artigos recomendados:

Perguntas frequentes sobre Checkmarx Fusion

O que é o Checkmarx Fusion?

Checkmarx Fusion é uma camada adicional de análise de segurança que utiliza modelos de IA para ampliar a detecção de vulnerabilidades no código. Integrada ao Checkmarx One, ela complementa a base de análise híbrida da plataforma, com foco inicial em SAST, a análise estática de código.

A proposta é combinar diferentes formas de examinar uma aplicação. Mecanismos determinísticos aplicam regras e análises técnicas; modelos de IA acrescentam raciocínio sobre o código. O processamento dos resultados busca reconciliar essas contribuições e entregar findings (achados de segurança) mais úteis para investigação.

Para uma empresa com aplicações críticas, o valor dessa combinação precisa aparecer na prática: cobertura relevante para sua stack, resultados tecnicamente sustentados e informações que ajudem a decidir o que tratar.

Qual é a diferença entre Fusion e Next-Gen SAST?

Fusion e Next-Gen SAST estão relacionados, mas designam camadas diferentes da arquitetura.

Segundo a Checkmarx, o modelo híbrido oferecido em Next-Gen SAST compõe a base da análise. Fusion acrescenta uma camada com múltiplos modelos de IA, buscando ampliar a identificação de vulnerabilidades. O fabricante também distingue sua contratação: Fusion é descrito como um adicional opcional, baseado em uso e com consumo de Checkmarx Credits.

Essa distinção importa tanto para a avaliação técnica quanto para o planejamento comercial. Empresas que já utilizam Checkmarx devem confirmar quais capacidades estão disponíveis em seu ambiente, como são habilitadas e quais condições se aplicam ao contrato.

Como a novidade se conecta à priorização e à correção?

A evolução da detecção ganha relevância quando os resultados chegam às equipes com condições de tratamento.

Na comunicação atual da Checkmarx, Fusion se conecta ao fluxo de priorização e correção do Checkmarx One. Triage Assist avalia findings elegíveis com informações sobre contexto, alcançabilidade e explorabilidade. Remediation Assist oferece orientações e sugestões de correção, incluindo pull requests em integrações suportadas, sujeitos à revisão dos desenvolvedores.

Na avaliação da Nova8, essa conexão deve orientar a análise do lançamento. Uma organização com backlog elevado precisa observar onde perde tempo: na confirmação dos achados, na definição de prioridades, na distribuição do trabalho ou na correção.

O ganho deve ser medido nesse fluxo. Uma avaliação representativa pode acompanhar um finding desde sua identificação até a mudança revisada e a nova verificação, registrando esforço, qualidade das informações e participação das equipes.

Como avaliar o Checkmarx Fusion na sua empresa?

A avaliação deve partir das aplicações e dos problemas que precisam de atenção. Linguagens utilizadas, cobertura atual, qualidade dos findings, esforço de triagem e capacidade de correção ajudam a definir um teste útil.

Para clientes atuais, o primeiro passo é revisar o ambiente e as condições contratadas. Para organizações que estão conhecendo a solução, vale entender como Fusion se relaciona às demais capacidades da plataforma e ao fluxo de desenvolvimento existente.