Figma AI安全代理 警报提速70%

时间：2026 年 9 月 5 日（Figma 工程博客发稿）；9 月 6 日经 InfoQ 等英文媒体报道。 地点：美国旧金山（设计协作平台 Figma 总部）。 人物：Matthew Sullivan（Figma 前安全工程师，现 Nition 公司）；Brad Girardeau（Figma 安全工程经理）。 事件详情： Figma 安全工程团队 9 月 5 日在官方博客发表长文，详细拆解他们如何用 AI 代理（agent）改造公司内部安全运营流程。整套系统架在 Panther SIEM 之上，调用 AWS、Okta、GitHub、GCP、osquery 等 100 多个数据源，并把数据灌入 AWS Bedrock Knowledge Bases、Amazon Kendra、Tines、Snowflake 等工具做检索；最关键的"告警分诊代理"使用 Claude Opus 作为推理核心。 工程团队披露的关键数据： - 复杂告警的解决时间缩短约 70% - 由于告警严重度被自动下调，on-call 页面减少 20% - 代理可直接打开 PR（默认 draft 状态，待人工审核） - 通过"过去告警 + 行为指引 + 已学到的库结构"三类记忆持续学习，越用越好用 - 提示词工程被专门设计为防止敏感数据泄露到公共 Slack 频道 这是 Figma 9 月内公开的第二篇 agent 安全博客。第一篇《How Figma stays ahead of vulnerabilities with agents》8 月 10 日发布，覆盖代码评审与全仓库审计两条战线，给出的数字更震撼： - 用 Claude Code（Opus 4.8）+ Codex（GPT-5.6 Sol）双模型做 PR 审查，单次中位成本仅 0.50 美元 - 4 周内把审查精确率从首周的 15%（27 条发现中 4 条有效）推到 80% 以上的两周滚动指标 - 全仓库审计发现 100 多个此前未知的漏洞，包括 2 个 SAST 漏掉的严重级缺陷 - "裁决代理"二次复核让已知缺陷召回率提升约 30% - 代码生成阶段挂钩安全规则后，部分错误类别下降约 50% - 99 行 2560 字的政策文档沉淀 68 条"先例"，意外成为新人安全培训手册 背景： Figma 用 agent 做安全并非孤立尝试。2026 年 3 月 Anthropic 与 Mozilla 合作，Claude Opus 4.6 两周内在 Firefox 找到 22 个新漏洞，相当于 2025 年 Firefox 高危补丁总量的近五分之一；Anthropic 还在开源库里发现 500 多个高危缺陷。但 Wiz 上周发布《GhostApproval》报告指出，六款主流 AI 编程助手的"无害"审批提示能被恶意仓库欺骗，意味着 agent 自身也成了新的攻击面。 影响： Figma 把 agent 安全从"原型"推进到"日常生产"的整套做法，可能成为中型软件公司 SOC 团队的参考模板：用 LLM 做告警分诊、用双模型做代码审查、用先例政策统一三类记忆、用 draft PR 把人留在回路里。一旦更多公司复制，AI 代理安全市场会从"POC 演示"加速进入"工具采购"阶段，企业安全岗位的工作内容也将从"盯着告警"转向"维护先例库和裁决策略"。 总结： Figma 用一篇长博客给出了 agent 安全落地的完整账单：复杂告警提速 70%、on-call 减 20%、代码审查精确率 4 周从 15% 拉到 80%、PR 单价 0.50 美元——背后是 Panther + Claude Opus + 多类记忆 + draft PR 的人机协作架构。它示范了一个事实：AI 安全不是把人换掉，而是让人腾出手去定义先例。 参考来源： 1. https://www.figma.com/blog/how-we-secure-figmas-internal-systems-with-agents/ （Figma 官博 9 月 5 日原文） 2. https://www.infoq.com/news/2026/09/figma-security-agents/ （InfoQ 9 月 6 日报道） 3. https://www.figma.com/blog/how-figma-stays-ahead-of-vulnerabilities-with-agents/ （Figma 官博 8 月篇：代码审查与审计） 4. https://www.thenextgentechinsider.com/pulse/figma-deploys-agentic-security-system-to-automate-vulnerability-management （Next Gen Tech Insider 总结） 5. https://wpnews.pro/news/figma-showing-a-virtuous-circle-between-bug-bounty-ai-security-scans-and-fixes （Web Pulse 详细技术分析） 6. https://www.wiz.io/blog/ghostapproval-a-trust-boundary-gap-in-ai-coding-assistants （Wiz GhostApproval 报告：AI 助手信任边界）