宁波银行征集智能代码审计系统项目供应商

正文：

为了适应业务发展的需要，依据宁波银行股份有限公司的采购管理规定，我行计划公开征集智能代码审计系统项目的供应商，诚邀符合要求的供应商参与方案的洽谈。

1、注册资本需在人民币200万元（含）以上，且财务状况良好；

2、公司需正常运营且存续时间在2年（含）以上；

3、企业或其法定代表人近两年内不得有行贿犯罪记录，未被列入失信被执行人名单，且无限制高消费、限制出入境等行为；

4、公司应具备健全的组织结构及制度规范，拥有充足的技术、人才和设备资源；

5、同一法定代表人的两个及以上法人、母公司、全资子公司及其控股公司不得同时报名参加同一项目；

6、参与报名的供应商需能够作为签约主体参与后续的商务流程；

7、所提供的设备和产品需符合《网络安全法》等相关法律法规的要求；

8、报名的供应商须符合宁波银行供应商管理的相关要求；

9、若为首次与我行合作的供应商，请按照附件格式提交“供应商尽职调查报告”。

①自主研发能力：供应商需具备系统核心能力的自主研发经验，包括但不限于代码语义理解、跨文件或跨函数调用链分析、漏洞推理、自动化验证、修复建议生成、审计报告生成及流程编排能力，且不得仅依赖开源项目或通用大模型进行简单包装。

②案例：供应商需具备银行业AI产品实施的经验，近三年内有系统重要性银行AI类产品的落地案例，并需提供合同关键页、实施说明或用户证明材料，以证明其产品已应用于安全运营或安全评估。

请符合条件的供应商于2026年6月25日前，通过“点击报名”方式进行报名，报名链接如下：https://cpms.nbcb.com.cn/cpms7net/WebSite/WebSiteIndex，并按要求填写相关报名材料。

联系人：童迪杰0574-87821427（采购部）

李忠诚13940440983（业务部）

智能代码审计系统项目的主要需求概述

（1）深度语义理解：系统应基于大模型具备代码语义理解与逻辑推理的能力，对源代码、配置文件、脚本、依赖关系及接口交互进行关联分析，以发现传统规则型SAST难以识别的业务逻辑漏洞、权限绕过、越权访问、鉴权缺失、交易流程缺陷、敏感数据滥用等问题。

（2）常见漏洞发现：系统应能够自动化识别OWASP Top 10、CWE常见漏洞类型，包括但不限于SQL注入、命令执行、代码执行、反序列化、任意文件读写/上传下载、路径穿越、SSRF、XXE、模板注入、表达式注入等。

（3）未知风险发现：具备识别非预置规则的能力，能够发现异常业务路径、可疑代码片段、潜在恶意逻辑、供应链投毒及0day/1day相关风险线索，并提供分析依据。

（4）跨文件与跨过程分析：支持跨函数、跨模块、跨文件的调用链跟踪，以识别从输入源到危险函数的可达路径，并结合数据流、控制流和上下文约束对漏洞可利用性进行推理。

（5）误报控制：应结合上下文推理、prompt/skills约束、知识库或人工反馈机制来降低误报率，并支持对误报结果进行标记学习、规则调优或知识沉淀。

（1）漏洞验证：系统应能对发现的问题自动生成或辅助生成验证思路、复现步骤、测试样例和验证POC，以证明漏洞的可达性和实际风险，避免仅给出静态猜测结果。

（2）修复建议：针对发现的风险提供可操作的修复建议，至少应包含问题成因说明、示例修复代码或补丁建议，支持研发人员的人工审核后实施。

（3）结果可解释：审计结果需具备充分的可解释性，能够展示漏洞类型、触发位置、调用链、关键证据、风险等级及利用条件，支持从“结论可解释”延伸到“过程可解释”和“修复可解释”。

（1）研发流程嵌入：支持在代码开发、提交、合并请求、构建发布、测试验收和上线前评估等关键环节进行嵌入，能够与IDE、代码仓库、CI/CD流水线、工单平台和漏洞管理系统进行对接。

（2）审计触发：支持按项目、分支、标签、里程碑或发布阶段自动触发审计任务。

（3）闭环管理：需支持问题分派、整改跟踪、复测验证、风险豁免、审计留痕及版本对比，形成“发现-验证-修复-复核-归档”的完整闭环。

（1）语言框架兼容：需支持主流编程语言及其生态，包括但不限于Java、Python、Go、JavaScript/TypeScript、PHP、C/C++、C#等；同时支持Spring、Spring Boot、MyBatis、Django、Flask、Gin、Express、Node.js、.NET等主流框架或同类技术栈。

（2）代码规模支持：应具备对2000万行以上代码规模项目的统一分析能力，支持多仓库、单体应用、微服务、组件化工程及复杂依赖关系场景。

（3）交付方式：支持私有化部署，并可根据需求提供离线部署、分布式部署或混合部署；支持模型、向量库、规则库和审计数据的本地化存储与处理。

来源：移动支付网