GitHub добавил ИИ-проверку безопасности в пулл-реквесты

GitHub расширил ^[1] возможности сканирования кода: теперь платформа может автоматически искать потенциальные уязвимости с помощью искусственного интеллекта ^[2] и показывать результаты прямо в пулл-реквесте. Новая функция охватывает языки и фреймворки, для которых пока нет встроенного анализа CodeQL. Сейчас она доступна в режиме публичного предварительного тестирования.

Что изменилось

ИИ-проверка запускается автоматически при создании или обновлении пулл-реквеста. Найденные проблемы отображаются вместе с остальными результатами сканирования кода, поэтому разработчик может изучить их и внести исправления до слияния изменений с основной веткой.

Срабатывания, полученные с помощью ИИ, помечаются меткой AI. Это позволяет отличить их от результатов статического анализа CodeQL. Результаты появляются по мере завершения проверки: ждать окончания всех запущенных механизмов анализа не требуется.

Главная задача функции — сократить слепые зоны в проектах, где часть кодовой базы написана на языках или использует фреймворки, которые CodeQL пока не поддерживает. При этом GitHub говорит именно о потенциальных проблемах: ИИ-срабатывания носят информационный характер и не блокируют слияние пулл-реквестов. Решение о том, требует ли найденная проблема исправления, остаётся за разработчиком.

CodeQL по-прежнему необходим

Новая функция не заменяет CodeQL. Более того, для её работы в репозитории должен быть включён стандартный режим настройки CodeQL — default setup.

Сам ИИ-анализ выполняет отдельный механизм GitHub, однако он использует инфраструктуру CodeQL. Поэтому включить ИИ-проверку отдельно от штатного сканирования кода пока нельзя.

Сначала использование функции должен разрешить владелец корпоративной учётной записи на уровне предприятия. После этого её можно включить на уровне организации для отдельных репозиториев или сразу для всей организации.

Кому доступна функция

ИИ-проверка безопасности доступна на github.com клиентам GitHub Code Security, входящего в GitHub Advanced Security. Для репозитория также должен быть настроен CodeQL в режиме default setup.

Во время публичного тестирования потребуется лицензия GitHub Copilot. Каждый запуск проверки расходует ИИ-кредиты организации, причём списание происходит только при фактическом выполнении анализа.

Пока GitHub не сообщает, изменятся ли условия доступа и тарификация после завершения предварительного тестирования.

Тему продолжим на бесплатном уроке 16 июля в 20:00, где преподаватель-практик разберёт, какие задачи в тестировании уже можно доверить ИИ, где он ошибается и какие навыки становятся важнее для QA. Присоединяйтесь. ^[3]