Độ chính xác dẫn đầu thị trường.
Recall cao. Gần như không nhiễu.

Phương pháp và sự thống nhất với sách trắng kỹ thuật:

• Điểm chính trong sách trắng — J của Youden gộp (90.29% / 0.90): Tính bằng cách coi toàn bộ 2,740 bài kiểm tra của cả bộ benchmark là một tập dữ liệu thống nhất: recall tổng (94.06%) trừ FPR tổng (3.77%) = 90.29% (được công bố là chỉ số Youden 0.90 trong sách trắng kỹ thuật của Cyfendo). J gộp cũng là chỉ số chuẩn dùng trong bảng so sánh, để nhất quán trực tiếp với các đánh giá học thuật đã công bố báo cáo số liệu tổng hợp toàn bộ bộ kiểm thử.
• Cách tổng hợp thay thế của OWASP — J trung bình theo nhóm (90.55%): Tập lệnh chấm điểm OWASP Benchmark cũ tính recall và tỷ lệ dương tính giả riêng cho từng nhóm trong 11 nhóm lỗ hổng (ví dụ: SQLi, XSS, Path Traversal, Command Injection, Weak Cryptography), lấy recall trừ FPR cho mỗi nhóm, rồi tính trung bình cộng không trọng số. J trung bình theo nhóm của Cyfendo là 90.55% được suy ra trực tiếp từ số liệu theo từng nhóm trình bày trong sách trắng của chúng tôi.
• Điểm chính Python v0.1 (86.57%): Dùng số liệu gộp (recall tổng 90.04% − FPR tổng 3.47% = 86.57%). Điểm trung bình theo nhóm chưa được xác lập cho bộ kiểm thử sơ bộ này.

Diễn giải: J của Youden bằng 100% biểu thị phát hiện hoàn hảo không có dương tính giả (recall 100%, FPR 0%). J bằng 0% cho biết công cụ có tỷ lệ dương tính thật bằng tỷ lệ dương tính giả (không có khả năng chẩn đoán). J có thể âm nếu công cụ tạo ra nhiều cảnh báo sai hơn số lần phát hiện đúng.

Lưu ý về Precision so với FPR: Tỷ lệ dương tính giả (FPR) đo tỷ lệ các trường hợp đối chứng an toàn bị gắn cờ nhầm, không phải tỷ lệ cảnh báo được báo cáo là sai. Precision đo tỷ lệ cảnh báo được báo cáo là lỗ hổng thật. Mọi chỉ số đều được tính từ số liệu chưa làm tròn, sau đó mới làm tròn theo độ chính xác hiển thị; trừ trực tiếp các tỷ lệ phần trăm đã làm tròn có thể gây ra sai lệch làm tròn 0.01 điểm.

• Sifting the Noise (arXiv:2601.22952, 30 tháng 1, 2026): Đánh giá CodeQL 2.23.7, Semgrep 1.145.0, SonarQube 9.9.8 Community Edition và Joern 4.0.454. Chấm điểm dương tính ở mức tệp thay vì phát hiện CWE đúng như dự kiến đã được xác nhận. Điểm SonarQube tính các lỗ hổng và loại trừ security hotspot. Joern dùng bộ quy tắc quét Java mặc định (6 tệp quy tắc), cho dương tính giả thấp (FPR 7.2%) nhưng recall rất thấp (8.2%). Các giá trị J gộp được tính từ số recall và FPR đã làm tròn hiển thị trong bài báo, giữ một chữ số thập phân. Việc thực thi công cụ quét và cấu hình cố định quy tắc chính xác không được chạy lại độc lập trong đợt xem xét này.
• QASecClaw (arXiv:2605.01885, 3 tháng 5, 2026): Đánh giá Semgrep CE với tự động chọn quy tắc (không nêu rõ phiên bản bản nhị phân). Số liệu của bộ chấm điểm là TP 1,273, FN 142, FP 560, TN 765. Tập lệnh chấm điểm chấp nhận bất kỳ phát hiện nào trong một tệp benchmark được đánh số thay vì kiểm tra nghiêm ngặt CWE có khớp hay không. Việc đếm lại các ID đã công bố chỉ xác minh phép tính tổng hợp, không xác minh việc công cụ quét đã chạy.
• Bảng điểm chính thức OWASP Benchmark v1.2: Các báo cáo mốc cơ sở do dự án OWASP tạo bằng tiện ích BenchmarkScore chính thức cho các công cụ mã nguồn mở trên 2,740 bài kiểm tra của OWASP Benchmark Java v1.2. FindBugs với FindSecBugs v1.4.6 đạt 1,370 TP, 45 FN, 703 FP, 622 TN (J gộp 43.76%; J trung bình theo nhóm 39.10%). SonarQube Java Plugin v3.14 đạt 607 TP, 808 FN, 141 FP, 1,184 TN (J gộp 32.26%; J trung bình theo nhóm 33.34%).
• Mốc cơ sở công cụ thương mại của OWASP (SAST-01 – SAST-06): Kết quả benchmark tổng hợp trên 6 công cụ SAST thương mại hàng đầu, được ẩn danh theo điều khoản giấy phép phần mềm thương mại. Nhóm thương mại đạt điểm J của Youden trung bình theo nhóm là 25.50%, với điểm của từng công cụ từ 16.74% (SAST-01) đến 32.93% (SAST-06).
• Fluid Attacks SAST: Tài liệu của nhà cung cấp được cập nhật ngày 17 tháng 7, 2026; ngày thực thi không được nêu rõ. Quy trình tái tạo của nhà cung cấp gồm các kiểm tra được chọn, một container chưa cố định phiên bản và một bộ phân tích cú pháp tùy chỉnh. Fluid Attacks báo cáo J = 100%; cách tổng hợp không được nêu rõ. Ngày cập nhật tài liệu không phải là ngày thực thi.
• Static Reviewer (Security Reviewer): Các tuyên bố về hiệu năng do nhà cung cấp công bố báo cáo TPR 98% và FPR 1.2% trên OWASP Benchmark. Phiên bản bộ kiểm thử và môi trường thực thi do nhà cung cấp tự báo cáo.

Phạm vi của các bài kiểm tra tổng hợp: Các bộ OWASP Benchmark gồm các bài kiểm tra tổng hợp đã được gán nhãn. Dù hữu ích để đánh giá theo dõi luồng dữ liệu (taint tracking) và khả năng phân biệt cú pháp trong điều kiện được kiểm soát, riêng điểm benchmark không thể xác lập độ phủ lỗ hổng trong thực tế, khả năng phát hiện lỗi logic nghiệp vụ phức tạp, thời gian phân loại của nhà phát triển được tiết kiệm, hay tính đúng đắn của các bản sửa mã được đề xuất.

Tình trạng đánh giá: Các số liệu của Cyfendo là kết quả đo do nhà cung cấp tự báo cáo, thực hiện vào tháng 9 năm 2026 trên các bộ benchmark công khai. Mã băm commit của bản dựng được đánh giá chưa được cố định; kết quả chưa được tái tạo độc lập.

Thông báo về tính độc lập với OWASP: OWASP là nhãn hiệu đã đăng ký của OWASP Foundation, Inc. Đánh giá của Cyfendo là một nghiên cứu độc lập trên các bộ benchmark mở và không hàm ý sự chứng thực, tài trợ hay chứng nhận của OWASP.