GitHub внедрил ИИ-проверку безопасности в пулл-реквесты

GitHub расширил возможности сканирования кода: теперь платформа может автоматически искать потенциальные уязвимости с помощью искусственного интеллекта и показывать результаты прямо в пулл-реквесте. Новая функция охватывает языки и фреймворки, для которых пока нет встроенного анализа CodeQL. Сейчас она доступна в режиме публичного предварительного тестирования.

Что изменилось

ИИ-проверка запускается автоматически при создании или обновлении пулл-реквеста. Найденные проблемы отображаются вместе с остальными результатами сканирования кода, следовательно разработчик может изучить их и внести исправления до слияния изменений с главный веткой.

Срабатывания, полученные с помощью ИИ, помечаются меткой AI. Это даёт возможность отличить их от результатов статического анализа CodeQL. Результаты появляются по ходу завершения проверки: ждать окончания всех запущенных механизмов анализа не требуется.

Главная проблема функции — сократить слепые зоны в проектах, где часть кодовой базы написана на языках или использует фреймворки, которые CodeQL пока не поддерживает. Одновременно GitHub сообщает именно о потенциальных проблемах: ИИ-срабатывания носят информационный характер и не блокируют слияние пулл-реквестов. Решение о том, требует ли найденная проблема исправления, остаётся за разработчиком.

CodeQL по-прежнему необходим

Новая опция не заменяет CodeQL. Более того, для её работы в репозитории должен быть включён типовой режим настройки CodeQL — default setup.

Сам ИИ-анализ выполняет отдельный механизм GitHub, однако он использует инфраструктуру CodeQL. Следовательно активировать ИИ-проверку отдельно от штатного сканирования кода пока нельзя.

Сначала использование функции должен разрешить владелец корпоративной учётной записи на уровне предприятия. После этого её можно активировать на уровне организации для отдельных репозиториев или сразу для всей организации.

Кому доступна опция

ИИ-проверка безопасности доступна на github.com клиентам GitHub Code Security, входящего в GitHub Advanced Security. Для репозитория также должен быть настроен CodeQL в режиме default setup.

Во время публичного тестирования потребуется лицензия GitHub Copilot. Каждый запускание проверки расходует ИИ-кредиты организации, причём списание происходит только при фактическом выполнении анализа.

Пока GitHub не сообщает, изменятся ли условия доступа и тарификация после завершения предварительного тестирования.

Тему продолжим на бесплатном уроке 16 июля в 20:00, где преподаватель-практик разберёт, какие задачи в тестировании уже можно доверить ИИ, где он ошибается и какие навыки становятся важнее для QA. Присоединяйтесь.