Harness ने सुरक्षा एजेंट उतारे जो पैच लिखते हैं, लेकिन अंतिम मंजूरी इंसान की है

पहले संशयवादियों की सबसे मजबूत पंक्ति रखता हूँ, क्योंकि वह अच्छी है: अब दुनिया का लगभग हर सुरक्षा विक्रेता दावा करता है कि उसका AI असली कमजोरियाँ ढूँढता है और असली सुधार लिखता है, और उनमें से बहुत से दावे उस क्षण पिघल जाते हैं जब कोई अनुभवी व्यक्ति उसे किसी ऐसे कोडबेस पर चलाता है जो डेमो नहीं है। इस साल "एजेंटिक AppSec" उद्योग के सबसे भीड़भाड़ वाले दावों में है। इसलिए जब सॉफ़्टवेयर डिलीवरी प्लेटफ़ॉर्म कंपनी Harness ने 19 अगस्त को घोषणा की कि उसके एजेंट मशीन की गति पर कमजोरियाँ स्कैन, छँटाई, पैच और सुरक्षित कर सकते हैं, तो पहली उचित प्रतिक्रिया भौंह उठाना है। मेरी भी उठी।

जिस चीज ने मेरा ध्यान रोके रखा वह है कि एजेंट कहाँ रुकते हैं। वे जो भी सुधार लिखते हैं वह पुल अनुरोध में जाता है, और कुछ जारी होने से पहले एक मानव डेवलपर को उसे मंजूर करना पड़ता है। सुनने में यह छोटी डिज़ाइन निर्णय लगती है, पर है नहीं: यह इस बात पर दाँव है कि स्वचालित सुरक्षा में भरोसे की सीमा वास्तव में कहाँ बैठती है, और उसी सप्ताह सुर्खियाँ बना रहे पूरी तरह स्वायत्त आक्रामक एजेंट के ठीक उलट दाँव है। मैंने घोषणा और कवरेज पढ़ी है। लॉन्च में वास्तव में क्या है, वह नीचे है। एक एक स्पष्टीकरण भी: कंपनी का नाम Harness है, और सामान्य रनटाइम अवधारणा जिस पर मैं अक्सर लिखता हूँ वह भी हार्नेस कहलाता है। टकराव बस संयोग है। एक हल्की मुस्कान वाली पंक्ति हो गई, अब आगे।

मुख्य बातें - Harness ने 19 अगस्त 2026 को पाँच सुरक्षा क्षमताएँ लॉन्च कीं: AI SAST, LLM स्कैन समन्वय, छँटाई एजेंट, सुधार एजेंट और ज़ीरो-डे एजेंट, साथ में वर्चुअल पैचिंग जो कोड बदलाव के बिना प्रोडक्शन को सुरक्षित करती है। - मंजूरी की सीमा साफ है: सुधार एजेंट सुधार लिखता और सत्यापित करता है, फिर पुल अनुरोध खोलता है। डेवलपर समीक्षा और मंजूर करता है। कुछ भी खुद मर्ज नहीं होता। - दावा विक्रेता के आँकड़ों पर टिका है: प्रकटीकरण से शोषण तक हमलावरों का समय छह घंटे जितना कम, औसत सुधार समय 50 दिनों से ज्यादा, और Project Glasswing प्रतिभागियों द्वारा LLM स्कैनिंग से करीब दस गुना अधिक कमजोरियाँ मिलना। इन्हें ऑडिट किए हुए नहीं, रिपोर्ट किए गए आँकड़े मानें। - नीचे की तकनीक Qwiet AI का Code Property Graph है, जिसे पिछले साल अधिग्रहित किया गया, साथ में शुरुआती 2025 का Traceable विलय। यह 18 महीने का निर्माण है, अचानक दिशा-बदलाव नहीं। - तैनाती का प्रमाण अभी पतला है: प्लेटफ़ॉर्म ग्राहकों के लिए "अभी उपलब्ध", लेकिन एजेंट खुद चलाने वाले कोई नामित शुरुआती उपयोगकर्ता नहीं।

क्या हुआ

19 अगस्त को Harness ने जिसे मशीन-गति भेद्यता प्रतिक्रिया कहा, उसकी घोषणा की। यह एजेंटों का समूह है जो भेद्यता के पूरे जीवनचक्र को खोज से तैनात सुधार तक समेटता है। प्रेस विज्ञप्ति और SiliconANGLE की कवरेज के अनुसार घटक ये हैं:

• AI SAST। निर्धारक स्थिर स्कैनर जिसके ऊपर AI परत शोर हटाती है। Harness कहता है कि यह परत झूठे सकारात्मक परिणाम घटाती है और IDOR तथा गायब प्राधिकरण जाँच जैसी तर्कगत खामियाँ पकड़ती है, वे श्रेणियाँ जिन्हें पारंपरिक पैटर्न-मिलान अक्सर पूरी तरह चूकता है।

• LLM स्कैन समन्वय। यदि आपकी टीम अपने LLM स्कैनर पहले से चलाती है, तो उनका आउटपुट अलग डैशबोर्ड में मरने की जगह पाइपलाइन के भीतर उसी छँटाई और सुधार कार्यप्रवाह में सीधे जाता है।

• छँटाई एजेंट। स्कैनर निष्कर्षों की बाढ़ लेकर उसे उन निष्कर्षों तक सीमित करता है जो वास्तव में शोषण योग्य हैं, पहुँचनीयता डेटा का इस्तेमाल करते हुए जो सभी एजेंट साझा करते हैं।

• सुधार एजेंट। प्राथमिकता दिए निष्कर्ष के लिए सुधार का मसौदा करता है, उसे सत्यापित करता है, और कमजोर फ़ंक्शन के विरुद्ध डेवलपर मंजूरी के लिए पुल अनुरोध खोलता है।

• ज़ीरो-डे एजेंट। नई प्रकाशित कमजोरियों पर चौबीसों घंटे नज़र रखता है, ग्राहक परिवेश में हर प्रभावित पाइपलाइन और आर्टिफैक्ट को तुरंत मानचित्रित करता है, और सत्यापित सुधार बनाता है, अक्सर प्रकटीकरण सार्वजनिक होने के कुछ ही मिनटों में।

• वर्चुअल पैचिंग। परीक्षण के दौरान कमजोरी मिलते ही सुरक्षात्मक ढाल तैनात करती है, ताकि वास्तविक सुधार पूरा होने तक प्रोडक्शन में शोषण अवरुद्ध रहे। कोड बदलाव की जरूरत नहीं।

सब कुछ Harness प्लेटफ़ॉर्म के हिस्से के रूप में अभी उपलब्ध है। प्रवक्ता Rahul Sood हैं, एप्लिकेशन सुरक्षा के महाप्रबंधक, जो Qwiet AI अधिग्रहण के जरिए Harness आए और जिनकी Code Property Graph तकनीक स्कैनिंग काम की नींव है।

Harness ने 19 अगस्त 2026 को AI सुरक्षा एजेंट लॉन्च किए जो SAST, छँटाई, सुधार, ज़ीरो-डे प्रतिक्रिया और वर्चुअल पैचिंग तक फैले हैं। सुधार एजेंट पुल अनुरोध खोलता है जिसे सुधार जारी होने से पहले डेवलपर मंजूर करता है, जैसा कि Harness की घोषणा और SiliconANGLE बताती हैं।

मंजूरी की सीमा ही उत्पाद है

जिस विवरण पर मैं टिकूँगा वह पुल अनुरोध है। Harness अपने-आप मर्ज की अनुमति दे सकता था। कई विक्रेता उसी दिशा में जा रहे हैं, और इसी लॉन्च वाले सप्ताह Wiz एक ऐसा एजेंट दिखा रहा था जो प्रोडक्शन प्रणालियों का शोषण करता है जबकि चक्र में कोई इंसान नहीं होता। Harness उलटी दिशा में गया: सुधार एजेंट का आउटपुट PR है, बस, और कोई नामित इंसान उसे मर्ज करता है या नहीं करता।

यह निर्णय है कि 2026 में एजेंटिक सुरक्षा के रक्षात्मक पक्ष पर भरोसा कहाँ कमाया जाता है, और मुझे लगता है यह सही निर्णय है। विफलता के तरीके सममित नहीं हैं। आक्रामक एजेंट सीमा पार कर जाए तो डरावनी रिपोर्ट बनती है। सुधार एजेंट खराब सुधार अपने-आप मर्ज कर दे तो सेवा-विघटन बन सकता है, या उससे भी खराब, चुपचाप टूटा सुरक्षा नियंत्रण जो ऊपर से पैच किया हुआ दिखता है। जिसने मेरा एजेंट शासन लेख पढ़ा है वह पैटर्न पहचान लेगा: स्वायत्तता उत्पाद के हिसाब से नहीं, कार्रवाई की श्रेणी के हिसाब से देनी चाहिए, और "प्रस्ताव करता है" पर भरोसा करना "कमिट करता है" से बहुत आसान है। वर्चुअल पैचिंग एक अपवाद है, क्योंकि वह कोड बदलाव के बिना प्रोडक्शन पर कार्रवाई करती है, लेकिन वह उस परत पर कार्रवाई करती है जिसे Harness पहले से नियंत्रित करता है, यानी डिलीवरी पाइपलाइन और Traceable से मिली वेब एप्लिकेशन सुरक्षा, और डिज़ाइन से उलटने योग्य है।

दूसरी सीमा दायरे की है। इन एजेंटों को वही दिखता है जो Harness से होकर गुजरता है: पाइपलाइन, आर्टिफैक्ट और तैनातियाँ। सामान्य स्कैनर के दावे से यह छोटी दुनिया है, और यहाँ छोटा होना अच्छी बात है। ज़ीरो-डे एजेंट का नई CVE को कुछ मिनटों में परिवेश के हर प्रभावित आर्टिफैक्ट से मानचित्रित करने का तरीका इसलिए काम करता है क्योंकि Harness के पास पहले से सॉफ़्टवेयर डिलीवरी ज्ञान ग्राफ़ है कि आपने क्या जारी किया और कहाँ। आपकी वास्तविक इन्वेंटरी के वास्तविक डेटा पर आधारित एजेंट, स्कैन से अनुमान करने वाले ज्यादा स्मार्ट एजेंट से बेहतर है। यह सिद्धांत सुरक्षा के बाहर भी काफी दूर तक जाता है, और ग्राहकों के साथ एजेंटिक आर्किटेक्चर समझाते समय मेरे ढाँचे का बड़ा हिस्सा है।

Harness अपनी मंजूरी सीमा पुल अनुरोध पर खींचता है: एजेंट स्कैन, छँटाई, सत्यापन और मसौदा बनाते हैं, लेकिन हर कोड बदलाव जारी होने से पहले डेवलपर मंजूर करता है। वर्चुअल पैचिंग अपवाद है, जो उसी डिलीवरी परत के जरिए प्रोडक्शन पर कार्रवाई करती है जिसे Harness पहले से चलाता है, जैसा कि घोषणा बताती है।

आँकड़े ही दावे हैं, इसलिए उन्हें दावे की तरह पढ़ें

लॉन्च तीन आँकड़ों पर जोर देता है। अग्रणी मॉडल इस्तेमाल करने वाले हमलावर सार्वजनिक प्रकटीकरण से काम करने वाले शोषण तक छह घंटे जितने कम समय में पहुँच रहे हैं। औसत भेद्यता सुधार होने में 50 दिनों से ज्यादा लगते हैं। और Anthropic के Project Glasswing, वह कार्यक्रम जो रक्षकों को सुरक्षा काम के लिए Claude Mythos की शुरुआती पहुँच देता है, के प्रतिभागियों ने LLM-आधारित स्कैनिंग से करीब दस गुना ज्यादा कमजोरियाँ खोजी हैं। SC World और दूसरे माध्यमों ने इन्हें दोहराया, लेकिन मूलतः तीनों Harness से आते हैं।

दिशा के स्तर पर तीनों उस बात से मेल खाते हैं जो मैं सुरक्षा टीमों से सुनता हूँ: खोज पक्ष सुधार पक्ष से तेजी से औद्योगीकृत हुआ है, और बैकलॉग अड़चन है। लेकिन विशिष्ट आँकड़ों को मैं ऑडिट किया हुआ नहीं, रिपोर्ट किया हुआ मानूँगा। छह घंटे का आँकड़ा मध्यिका नहीं, न्यूनतम सीमा है। 50-दिन का औसत उस तरह का उद्योग आँकड़ा है जो इसलिए जीवित रहता है क्योंकि उसे ठीक से गलत साबित करना मुश्किल है। और दस-गुना निष्कर्ष वाले आँकड़े का दूसरा पहलू दावा हल्का कर देता है: यदि आपका LLM स्कैनर दस गुना ज्यादा कमजोरियाँ ढूँढता है, और उनमें से एक हिस्सा झूठे सकारात्मक परिणाम या व्यावहारिक रूप से अशोषणीय है, तो आपने अपने लिए बड़ा भूसे का ढेर खरीद लिया। Harness का जवाब छँटाई एजेंट और साझा पहुँचनीयता डेटा है, और आर्किटेक्चर के स्तर पर वह सही जवाब है। अव्यवस्थित मोनोरेपो पर वह टिकता है या नहीं, यह प्रेस विज्ञप्ति नहीं बता सकती। यकीन करने से पहले अपने बैकलॉग पर चलाएँ।

प्रतिस्पर्धी संदर्भ असली है। Microsoft का MDASH और Project Perception, Anthropic का defending-code हार्नेस, CyberGym में Wiz Atlas का शीर्ष पर पहुँचना: रक्षात्मक एजेंट श्रेणी कई दिशाओं से एक साथ आ रही है। जब इतनी गंभीर टीमें एक साल के भीतर सॉफ़्टवेयर की एक ही परत जारी करें, तो वह परत शायद मुख्य भार उठाने वाली है। यही पैटर्न मैंने उसी महीने TrueForge के एजेंट रनटाइम मुक्त-स्रोत होने पर भी नोट किया था।

Harness के लॉन्च के आँकड़े, यानी शोषण तक छह घंटे जितना कम समय, औसत सुधार समय 50 दिनों से अधिक, और Project Glasswing प्रतिभागियों में LLM स्कैनिंग से करीब दस गुना अधिक निष्कर्ष, विक्रेता-रिपोर्ट किए हैं और स्वतंत्र रूप से सत्यापित नहीं किए गए, जैसा कि SiliconANGLE की कवरेज बताती है। दिशा व्यापक बाज़ार से मेल खाती है; सटीक आँकड़े पर थोड़ा नमक साथ रखें।

तैनाती का प्रमाण क्या दिखाता है, और क्या नहीं

ईमानदार सूची यह है। तकनीक की वंशावली वास्तविक है: Qwiet AI का Code Property Graph AppSec में जाना-पहचाना है, Traceable विलय शुरुआती 2025 में वेब एप्लिकेशन और API सुरक्षा लेकर आया, और Agent DLC 21 जुलाई को AI कोडिंग एजेंट के शासन के साथ लॉन्च हुआ। कंपनी ने घटक जोड़ने में 18 महीने लगाए, साथ में पिछले दिसंबर $5.5 अरब मूल्यांकन पर $240 मिलियन निवेश दौर किया। "अभी उपलब्ध" का मतलब प्लेटफ़ॉर्म पर सामान्य उपलब्धता है, प्रतीक्षा सूची नहीं।

जो नहीं है: प्रोडक्शन में ये एजेंट चलाने वाला नामित ग्राहक, प्रकाशित झूठे-सकारात्मक दर, सुधार गुणवत्ता का स्वतंत्र बेंचमार्क, या कोई तीसरे पक्ष का सत्यापन कि सुधार समीक्षा में टिकते हैं। लॉन्च का सबसे मजबूत तैनाती दावा है कि ज़ीरो-डे एजेंट सत्यापित सुधार "अक्सर कुछ मिनटों में" बनाता है, जो केस स्टडी नहीं बल्कि क्षमता वक्तव्य है। इससे लॉन्च खोखला नहीं हो जाता; इसका मतलब बस यह लॉन्च है। इसका यह भी अर्थ है कि अपनाने के लिए प्रमाण की कसौटी आपका अपना परीक्षण डेटा होना चाहिए, घोषणा नहीं। यदि आप यात्रा में पहले हैं और इस तरह की क्षमता घर के भीतर बनाने पर सोच रहे हैं, तो बनाने बनाम खरीदने के समझौते यहाँ भी उतने ही लागू हैं जितने एजेंट स्टैक के किसी और हिस्से में।

लॉन्च के पीछे सुरक्षा निर्माण लगभग 18 महीने फैला है: शुरुआती 2025 का Traceable विलय, Code Property Graph स्कैनिंग लाने वाला Qwiet AI अधिग्रहण, जुलाई 2026 का Agent DLC, और अगस्त में सुरक्षा एजेंट, जैसा कि Harness की घोषणा और SiliconANGLE बताते हैं। नए एजेंटों की नामित प्रोडक्शन तैनातियाँ प्रकाशित नहीं हुई हैं।

अभी क्या करें

यदि कमजोरी प्रतिक्रिया आपकी जिम्मेदारी है:

1. पहले अपने दो आँकड़े मापें। प्रकटीकरण से शोषण तक समय तभी मायने रखता है जब उसे निष्कर्ष से सुधार तक आपके अपने समय के मुकाबले देखा जाए। विक्रेता का छह-घंटे वाला आँकड़ा खरीद प्रक्रिया में डराए उससे पहले अपना वास्तविक औसत सुधार समय निकालें।

2. पायलट छँटाई पर करें, सुधार पर नहीं। छँटाई एजेंट सबसे कम जोखिम वाला प्रवेश-बिंदु है: सबसे खराब स्थिति, वह बैकलॉग को खराब क्रमबद्ध करता है और आप अनदेखा कर देते हैं। वास्तविक निष्कर्ष की एक चौथाई मात्रा उसे दें और उसके शोषण-योग्यता के निर्णय को अपनी टीम के निर्णय से मिलाएँ, सुधार एजेंट को सार्थक PR खोलने की अनुमति देने से पहले।

3. मंजूरी सीमा वहीं रखें जहाँ Harness ने रखी है। जो औज़ार भी इस्तेमाल करें, इस साल एजेंट-लिखित सुधार को अपने-आप मर्ज करने का लालच रोकें। इंसान द्वारा डिफ़ समीक्षा करने की लागत-समीकरण, एजेंट-जारी रिग्रेशन की लागत-समीकरण के सामने कुछ भी नहीं।

4. पूछें एजेंट क्या देख सकता है। इस डिज़ाइन का सबसे मजबूत हिस्सा इन्वेंटरी पर आधारित होना है। जो भी अपनाएँ, ऐसे एजेंटों को प्राथमिकता दें जो आपके वास्तविक आर्टिफैक्ट ग्राफ़ पर तर्क करें, न कि फ़ाइल-सिस्टम स्नैपशॉट पर।

अक्सर पूछे जाने वाले सवाल

Harness के सुरक्षा एजेंट वास्तव में क्या करते हैं?

पाँच चीजें। AI SAST कोड स्कैन करता है और AI परत झूठे सकारात्मक परिणाम छाँटती है तथा तर्कगत खामियाँ पकड़ती है। छँटाई एजेंट निष्कर्ष को उन तक सीमित करता है जो वास्तव में शोषण योग्य हैं। सुधार एजेंट सुधार का मसौदा और सत्यापित करके पुल अनुरोध खोलता है। ज़ीरो-डे एजेंट नए प्रकटीकरण की निगरानी करता है और उन्हें प्रभावित प्रणालियों से मानचित्रित करता है, अक्सर कुछ मिनटों में सुधार तैयार कर देता है। वर्चुअल पैचिंग कोड सुधार पूरा होने तक प्रोडक्शन को सुरक्षित करती है।

क्या एजेंट सुधार खुद तैनात करते हैं?

नहीं। कोड बदलाव केवल पुल अनुरोधों के रूप में जारी होते हैं जिन्हें डेवलपर समीक्षा और मंजूर करता है। प्रोडक्शन को स्वायत्त रूप से छूने वाली एक क्षमता वर्चुअल पैचिंग है, जो कोड बदले बिना डिलीवरी परत पर सुरक्षात्मक ढाल लगाती है और उलटने योग्य होने के लिए डिज़ाइन की गई है।

Harness कौन है और यह काम क्यों कर रहा है?

Harness सैन फ़्रांसिस्को की सॉफ़्टवेयर डिलीवरी प्लेटफ़ॉर्म कंपनी है, जिसका पिछला मूल्यांकन दिसंबर निवेश दौर में $5.5 अरब था। उसने शुरुआती 2025 में API सुरक्षा कंपनी Traceable के साथ विलय किया, Code Property Graph स्कैनिंग के लिए Qwiet AI अधिग्रहित किया, और जुलाई 2026 में AI कोडिंग-एजेंट शासन के लिए Agent DLC जारी किया। सुरक्षा एजेंट उसी निर्माण का अगला कदम हैं, और नाम का एजेंट-हार्नेस अवधारणा से मिलना शुद्ध संयोग है।

लॉन्च के सुरक्षा आँकड़े कितने भरोसेमंद हैं?

वे विक्रेता-रिपोर्ट किए हैं। छह-घंटे का प्रकटीकरण-से-शोषण आँकड़ा, 50-दिन से अधिक औसत सुधार समय और Project Glasswing का दस-गुना निष्कर्ष दावा सभी Harness की अपनी घोषणा तक पहुँचते हैं। वे सही दिशा बताते हैं, लेकिन स्वतंत्र डेटा आने तक उन्हें रिपोर्ट किया हुआ मानें, ऑडिट किया हुआ नहीं।

निष्कर्ष

इस लॉन्च की दिलचस्प बात यह नहीं कि AI पैच लिख सकता है; आधे उद्योग ने इस साल उसका डेमो दिया। दिलचस्प यह है कि डिलीवरी-प्लेटफ़ॉर्म कंपनी ने तय किया कि भरोसेमंद सुरक्षा एजेंट वह है जो पुल अनुरोध पर रुकता है, और उसने उसे पहले से मौजूद इन्वेंटरी ग्राफ़ में आधार दिया। Harness के विशिष्ट एजेंट अच्छे हैं या नहीं, इसका जवाब ग्राहक परीक्षण ही देंगे, और प्रकाशित प्रमाण अभी पतला है। लेकिन डिज़ाइन प्रवृत्ति, तेज मशीनें प्रस्ताव दें और जवाबदेह इंसान फैसला लें, वही है जिस पर मैं रक्षात्मक सुरक्षा के लिए इस साल दाँव लगाऊँगा। अगली तिमाही नामित तैनातियाँ और स्वतंत्र सुधार-गुणवत्ता डेटा देखें। लॉन्च और वास्तविक बदलाव के बीच फर्क यही है।

यदि आप एजेंटिक सुरक्षा औज़ार को अपनी पाइपलाइन के विरुद्ध तौल रहे हैं, तो यह बातचीत मैं ग्राहकों के साथ नियमित रूप से करता हूँ। संपर्क करें।

स्रोत

• Harness, "मशीन-गति भेद्यता प्रतिक्रिया के लिए Harness ने AI एजेंट लॉन्च किए" प्रेस विज्ञप्ति: https://www.harness.io/press-and-news/harness-launches-ai-agents-for-machine-speed-vulnerability-response (प्रकाशित 2026-08-19, देखा गया 2026-08-29)

• SiliconANGLE, "Harness ने कमजोरियों की छँटाई और पैचिंग करने वाले AI एजेंट लॉन्च किए": https://siliconangle.com/2026/08/19/harness-launches-ai-agents-triage-patch-vulnerabilities/ (प्रकाशित 2026-08-19, देखा गया 2026-08-29)

• SC World, "सॉफ़्टवेयर कमजोरियाँ खोजने और ठीक करने के लिए Harness ने AI एजेंट लॉन्च किए": https://www.scworld.com/brief/harness-launches-ai-agents-to-find-and-fix-software-vulnerabilities (प्रकाशित 2026-08-20, देखा गया 2026-08-29)

• Unite.AI, "Harness ने मशीन की गति पर कमजोरियाँ स्कैन, छाँटने और पैच करने वाले AI एजेंट उतारे": https://www.unite.ai/harness-ships-ai-agents-to-scan-triage-and-patch-vulnerabilities-at-machine-speed/ (प्रकाशित 2026-08-19, देखा गया 2026-08-29)

• DevOps Digest, "Harness ने नई सुरक्षा क्षमताएँ जारी कीं": https://www.devopsdigest.com/harness-releases-new-set-security-capabilities (प्रकाशित 2026-08-28, देखा गया 2026-08-29)

• Harness Drone रिपॉजिटरी: https://github.com/harness/drone (देखा गया 2026-08-29)