CodeScoring Updates

😁Хранилище артефактов CodeScoring.Save

Теперь официально: мы разработали собственное хранилище артефактов CodeScoring.Save, объединяющее хранение компонентов и инструменты контроля цепочки поставки ПО. Никаких перепиленных open source решений: Save разработан командой CodeScoring на Go, ориентирован на Kubernetes-среды и создан для компаний, которым необходимо предсказуемое, отказоустойчивое и настраиваемое хранилище.

✔️ Поддержка популярных экосистем

Maven, npm, PyPI, NuGet, Go, Docker/OCI, Deb (APT), RPM (YUM/DNF) и Raw в hosted- и proxy-режимах.

✔️ Полностью независимое решение

Save может использоваться автономно, сохраняя возможность интеграции с другими продуктами платформы CodeScoring.

✔️ Контроль безопасности и жизненного цикла

Решение позволяет управлять доступом, вести аудит действий и настраивать политики очистки артефактов. Интеграция с CodeScoring.OSA подключает проверку компонентов с использованием данных платформы CodeScoring.

✔️ Надёжность и масштабируемость

Продукт поддерживает высокую доступность (HA) «из коробки», горизонтальное масштабирование и отказоустойчивые конфигурации. 

✔️ API-first / DevOps-friendly

REST API и Swagger позволяют работать с системой по принципам IaC, подключать хранилище к CI/CD-контурам и создавать собственные автоматизации.

Save поставляется в виде Helm chart для работы в Kubernetes-средах и сопровождается инструментом автоматической миграции с открытых хранилищ артефактов.

Узнать подробности, запросить демо-доступ и записаться на пилотный проект можно на странице продукта: https://codescoring.ru/save 

😁Защищенные префиксы в PyPI, вклад бизнеса в open source и риски устаревших версий Nexus Repository CE

Читайте новые статьи в блоге CodeScoring на Хабре:

🔴Зачем PyPI закреплять префиксы пакетов за организациями
В Python-сообществе приняли механизм защищенных префиксов (PEP 752), чтобы ограничить регистрацию новых пакетов с чужим узнаваемым префиксом и снизить риск dependency confusion. Чтобы выяснить, часто ли пакетами с одинаковым началом имени управляет один владелец, дата-команда CodeScoring сопоставила более 800 000 действующих проектов из своей базы с данными ownership в PyPI. В статье делимся результатами исследования и разбираем, почему PyPI не пошел по пути областей имен npm, где проходит граница между защитой продуктовой линейки и экосистемой расширений и как новые правила могут отразиться на безопасности цепочки поставки.
➡️Читать статью

🔴Чужой код, свои патчи. Зачем компании инвестируют в open source
Изучили отчет Linux Foundation Research и выяснили, что побуждает компании направлять ресурсы разработки в open source проекты, почему вклад бизнеса в критически важные для него зависимости часто заметно отстает от их значимости для продукта и в каких случаях сохранение закрытых патчей превращается в необходимость поддерживать собственный внутренний продукт.
➡️Читать статью

🔴Чем опасны старые версии Nexus Repository CE
Рассматриваем причины, по которым хранилища артефактов остаются на устаревших версиях после ввода жестких лимитов в Community Edition, разбираем критические уязвимости в Nexus Repository 3 и объясняем, почему оценка реальных рисков и регулярный перенос исправлений важнее ориентира только на рейтинг CVSS.
➡️Читать статью

Подписывайтесь на наш блог на Хабре, комментируйте статьи и делитесь кармой ❤️

😃 Обновление CodeScoring 2026.35.0

В версии 2026.35.0 основной акцент сделан на том, чтобы компоненты и связанные с ними риски можно было рассматривать не только внутри отдельного проекта. Платформа начала объединять сведения из SCA и OSA, точнее сопоставлять вызовы с уязвимыми функциями и быстрее обрабатывать большие объёмы данных.

🔖 Раздел «Каталог»

«Каталог» — это новый раздел, который собирает сведения о программных компонентах независимо от того, в каком проекте или сценарии анализа они обнаружены. В его основе лежит иерархия «библиотека → пакет → зависимость». Такая иерархия нужна, чтобы агрегировать данные и в дальнейшем управлять общими свойствами компонентов выше уровня отдельной зависимости.

В новой версии доступен первый подраздел «Пакеты». В общем списке собраны конкретные версии пакетов, количество связанных уязвимостей и появления в разных сценариях анализа. На странице пакета можно посмотреть его метаданные, уязвимости и проекты, в которых он обнаружен. Так один компонент можно рассматривать вне отдельного анализа, не собирая отдельно сведения по разным разделам платформы.

🧩 Более точный анализ достижимости

В новой версии механизм анализа достижимости использует путь к исходному файлу вместе с сигнатурой функции, когда эти данные есть в графе вызовов. Это помогает отличать одноимённые методы из разных библиотек и уменьшает число ложных отметок о достижимости.

Статус «Доступен анализ» показывает, что в базе знаний есть сведения об уязвимых функциях, но проект был проанализирован без проверки достижимости. Эти данные также включены в SBOM и PDF-отчёты SCA.

⚡ Поиск клонированных уязвимостей в Java

Уязвимый код может попасть из одной библиотеки в другую, хотя публичные источники продолжают связывать CVE только с исходным компонентом. Наш новый собственный фид CodeScoring Cloned Vulnerabilities (CSCV) сопоставляет такие Maven-пакеты с исходной CVE и исходной библиотекой, чтобы находить уязвимость и в компонентах с заимствованным кодом.

➡️ Обновлённый интерфейс SCA-проекта

Работа с результатами SCA-анализа разделена по отдельным задачам. На основном экране проекта теперь можно сразу перейти к основным действиям, таким как настройка зависимостей или разбор приоритетных уязвимостей. Алерты, уязвимости и зависимости получили собственные вкладки и фильтры, а таблицы загружаются постранично. Также для каждой зависимости можно раскрыть и скопировать полный список файлов проекта, в которых она обнаружена.

✅ Генерация PDF-отчётов для больших объёмов данных

Механизм формирования PDF-отчётов переехал на новый движок. Теперь он потребляет меньше памяти и быстрее обрабатывает большие выгрузки, а обновлённый дизайн компактнее представляет сводные данные и таблицы.

Полный список изменений доступен на странице changelog в документации.

Скрытые API, галлюцинации LLM и споры о протестном ПО и версиях зависимостей: новые статьи в блоге CodeScoring на Хабре

🔴Protestware: пережитый тренд или устоявшаяся проблема?
Проанализировали тренд на публикацию protestware – открытого ПО, авторы которого намеренно вносят компрометирующие конструкции.
Рассказываем, остается ли protestware временной реакцией на кризисы или превращается в устойчивый элемент экосистем.
➡️Читать статью

🔴Сколько Shadow API спрятано в ваших продуктах и как вывести их из тени
Разобрались, почему официальные реестры API расходятся с реальностью, откуда берутся Shadow API и как начать их искать. 
➡️Читать статью

🔴У нас есть для вас пакет! Как LLM придумывают несуществующие зависимости
Обзор исследования We Have a Package for You!, авторы которого проверили 16 моделей, сгенерировали более полумиллиона образцов кода на Python и JavaScript и выяснили, что почти 20% всех рекомендаций пакетов оказались вымышленными. Откуда берутся такие галлюцинации, почему это открывает дорогу slopsquatting-атакам и какие меры реально снижают риск?
➡️Читать статью

🔴Должны ли библиотеки запрещать уязвимые версии зависимостей?
Перевод колонки Сета Ларсона о том, почему автоматическое повышение минимальной версии зависимости после обнаружения любой уязвимости — не лучшее решение. Мы дополнили материал разбором обеих позиций спора в Python-сообществе и собственным взглядом: когда поднимать нижнюю границу версии оправданно, а когда это только создает больше проблем.
➡️Читать статью

Подписывайтесь на наш блог на Хабре, комментируйте статьи и делитесь кармой ❤️

😁 Единое окно для AppSec: CodeScoring + «Шерлок»

Мы реализовали бесшовную интеграцию с платформой для управления ИБ-дефектами «Шерлок» от Axel PRO. Что это значит:

🔴Работа в одном окне: запускать сканирования в CodeScoring и управлять проектами можно прямо из интерфейса «Шерлока».

🔴Централизованный сбор данных: результаты SCA-сканирований и поиска секретов автоматически передаются в ASOC-систему для оценки актуальности уязвимостей.

🔴Прозрачные процессы РБПО: сквозная видимость жизненного цикла ИБ-дефектов.

Все функции уже штатно доступны пользователям «Шерлока».

➡️ Подробнее читайте в блоге CodeScoring 

Продолжаем делать AppSec-процессы удобнее ❤️

✔️ Кейс CodeScoring и «Ингосстраха»: автоматизация контроля Open Source и поиск вредоносных пакетов

🔴Рассказываем, как DevSecOps-команда страховой компании перешла от «полуручной» проверки Open Source зависимостей к системной автоматизации с помощью CodeScoring и защитила корпоративный контур от атак на цепочку поставки ПО.

🔗 Читать полную версию кейса

😁Свежие статьи в блоге CodeScoring на Хабре

🔴Модели угроз пакетных менеджеров
Разбираем, как смотреть на безопасность пакетных менеджеров и реестров пакетов не только через CVE, но и через их архитектурные особенности. Выполнение кода при установке, гарантии lockfile, dependency confusion, typosquatting, жизненный цикл мейнтейнеров и другие векторы атак, без внимания к которым сложно построить полноценную модель угроз для цепочки поставки ПО.
➡️Читать статью

🔴Принципы безопасности для пакетных репозиториев
Подготовили перевод статьи от OpenSSF о четырех уровнях зрелости безопасности пакетных индексов и лучших практиках их защиты.
➡️Читать статью

🔴Пакетным менеджерам пора ввести период охлаждения
Статья про актуальные возможности пакетных менеджеров по временному карантину (cooldown) открытых пакетов. Как небольшая задержка перед установкой новых версий зависимостей может снизить риски атак на цепочку поставки и добавить эффективности службе безопасности приложений.
➡️Читать статью

Подписывайтесь на наш блог на Хабре ❤️

✔️ Кейс CodeScoring и Т1 Иннотех: непрерывный контроль Open Source при enterprise-нагрузках

На нашем сайте вышел материал о нашем многолетнем сотрудничестве с Т1 Иннотех. Рассказываем, как AppSec-команда компании развивает процесс безопасной разработки и выстраивает защиту контура от атак на цепочку поставок ПО с применением CodeScoring.

🔗 Читать полную версию кейса

🦊 Обновление CodeScoring 2026.27.0

В версии 2026.27.0 основной акцент сделан на ускорении результатов анализа и улучшении интерфейса платформы. Также расширилось покрытие технологий и появились новые инструменты для поиска секретов.

⚡ Ускорение расчета политик

В данном релизе завершён ключевой этап большого архитектурного перехода – расчёт политик во всех модулях переведён на сервис Judge, написанный на Go, который уже использовался в OSA Proxy. По результатам нашего нагрузочного тестирования общее время выполнения SCA-анализа сократилось на 30–40%.

🔖 Улучшения интерфейса

В платформе переработана панель фильтров на ключевых страницах. Наиболее востребованные параметры теперь видны сразу, остальные собраны в меню «Ещё».

Порядок фильтров пересмотрен с учётом частых сценариев работы. В длинных списках появился поиск, а для дат и числовых значений можно задать только начальную или конечную границу диапазона. Единый подход к фильтрации теперь применяется по всей платформе.

Также на основном дашборде появился новый график воронки уязвимостей, который последовательно сужает общий объём найденных уязвимостей в CodeScoring.SCA до тех, которые требуют внимания команды в первую очередь.

🔖 Новые экосистемы и интеграции

CodeScoring и агент Johnny получили поддержку проектов на языке R. Агент обрабатывает файлы DESCRIPTION и renv.lock и поддерживает локальное разрешение зависимостей для renv.

Также добавлена поддержка пакетного менеджера Hex для трёх языков экосистемы BEAM:

⭕ Elixir – mix.exs и mix.lock;
⭕ Erlang – rebar.config и rebar.lock;
⭕ Gleam – gleam.toml и manifest.toml.

Johnny обрабатывает эти форматы и разрешает зависимости средствами соответствующих пакетных менеджеров. Помимо этого добавлена поддержка файлов libs.versions.toml и settings.gradle.* для Java, Kotlin и Groovy экосистем.

Также CodeScoring.OSA теперь поддерживает подключение платформы GitFlic в качестве менеджера репозиториев.

🔐 Kingfisher в CodeScoring.Secrets

В CodeScoring.Secrets добавлена поддержка сканирования движком Kingfisher. Его можно использовать наряду с Gitleaks и TruffleHog, в том числе с собственной конфигурацией и набором правил.

Результаты сохраняются и дедуплицируются в общем рабочем контуре модуля.

✅ Расширенное управление доступом через OIDC

В CodeScoring появилось сопоставление данных авторизации от OIDC-провайдера с группами и уровнями доступа в платформе. Правила применяются при входе и назначают права на основе данных корпоративного провайдера идентификации.

Администратор также может ограничить вход значениями из выбранного пользовательского атрибута – например, допускать только пользователей из заданных групп.

Полный список изменений доступен на странице changelog в документации.

В июле будет много поводов для встреч! Делимся где, когда и в каком формате нас можно будет встретить ⬇️

🔴Код под контролем
2 июля, Москва | Оффлайн

Лев Новоженин, руководитель службы предпродажной подготовки, выступит с докладом «Комплексный подход к выстраиванию проверок безопасности Open Source».

🔴ProIT Fest
11 июля, Санкт-Петербург | Оффлайн

Виталий Панасенко, руководитель разработки продуктов, проведёт интерактив «Вы точно знаете свои API? Экспресс-оценка зрелости за 25 минут». Виталий проведет живую диагностику, которая покажет, что даже с WAF и CI/CD часть API может оставаться вне поля зрения.

🔴PyCon
24-25 июля, Москва, Бизнес.Техноград, ВДНХ | Оффлайн

Одна из самых больших и атмосферных конференций для Python-разработчиков, 500+ участников уровня Middle и выше! В этот раз у нас будет свой стенд - подходите общаться!

🔴Встреча РБПО-сообщества
28-30 июля, Чебоксары, ЧГУ им. И.Н. Ульянова | Оффлайн

Встреча участников РБПО-сообщества ФСТЭК России и ИСП РАН. Артём Максимов, продуктовый аналитик CodeScoring, выступит для студентов Университета ЧГУ им. И.Н. Ульянова

🔴Kubernetes Community Day
30 июля, Москва | Оффлайн + онлайн-трансляция

Дмитрий Ключников, руководитель разработки продуктов, приоткроет завесу нашего нового модуля, который совсем скоро выходит в релиз. Подробнее в докладе: «От «хранилища» к supply chain platform. Эволюция, которую пропустило большинство команд».

😁 Безопасная разработка в частном и гибридном облаке

Мы успешно завершили испытания и подтвердили технологическую совместимость с экосистемой инфраструктурного ПО Orion soft.

🔴CodeScoring штатно разворачивается в управляемом Kubernetes-контуре на базе Nova и Hyperdrive в рамках сценариев интеграции. Мы проверили подключение внешних репозиториев исходного кода и реестров Docker‑образов, запуск сканирования и формирование уведомлений безопасности по результатам, подтвердили корректную работу пользовательских политик безопасности.
Многие компании сейчас внедряют cloud-native подходы и переносят разработку в частные или гибридные облака, и задача CodeScoring — сделать так, чтобы при переходе на новые инфраструктурные платформы можно было встроить инструменты контроля безопасности быстро и без разрыва привычных DevSecOps-сценариев.

➡️ Подробнее читайте в блоге CodeScoring
Продолжаем делать AppSec-процессы удобнее 😄

😁Читайте блог CodeScoring на Хабре!

Мы продолжаем развивать наш блог на Хабре, где делимся — и будем регулярно делиться — нашей экспертизой в области безопасной разработки и анализа открытого кода.

Вы уже успели прочитать наши первые статьи?

Атаки на цепочку поставки ПО: виды угроз и как с ними бороться
Артем Максимов, отвечающий за продуктовую экспертизу, разобрал главные векторы атак в open source на 2026 год. Читайте про вредоносные пакеты, тайпсквоттинг, путаницу в зависимостях и практические способы защиты контура разработки.
➡ Читать статью

Как мы в CodeScoring модель для поиска секретов готовили
Антон Володченко и Дарья Черешнюк рассказали, как мы перевнедрили ML для поиска утекших паролей и токенов. Внутри — много технических деталей о переходе на архитектуру CodeBERT, работе с токенизатором и о том, как нам удалось улучшить качество распознавания истинных секретов с 0.70 до 0.90 PR AUC.
➡ Читать статью

Трансформер в on-premise AppSec: как мы встроили ML-модель для классификации секретов в продукт без GPU
Натан Власенко, техлид модуля Secrets, поделился опытом интеграции CodeBERT-based модели классификации секретов в CodeScoring.Secrets с жесткими ограничениями по железу. История о том, как мы ускорили работу модели и сократили её размер в пять раз.

➡ Читать статью

Автоматизация SBOM в большом legacy-проекте: опыт LibreOffice и Collabora Online
Перевели доклад Торстена Беренца о создании SBOM для кодовой базы с многолетней историей. Внутри о том, как учесть всё многообразие компонентов — от C/C++ библиотек до сторонних шрифтов — и с нуля подготовить старый опенсорс к европейским требованиям по киберустойчивости.

➡ Читать статью

Подписывайтесь на наш блог на Хабре, комментируйте статьи и делитесь кармой ❤

Ценность безопасной разработки для бизнеса, защита мобильных приложений и контроль новых ИИ-угроз в цепочке поставки ПО

Собрали для вас дайджест свежих материалов от наших экспертов 😁

🔴 Как объяснить генеральному директору ценность безопасной разработки
Основатель CodeScoring Алексей Смирнов в статье для «Компьютерра» разобрал популярное заблуждение о том, что внедрение проверок на безопасность — это неоправданные расходы и тормоз для релизов. Выясняем, как правильно аргументировать сдвиг безопасности влево (Shift Left) и почему грамотно выстроенный DevSecOps снижает затраты на исправление уязвимостей.
🔗 Читать статью: Цена ошибки: как безопасная разработка становится драйвером развития бизнеса

🔴Защита мобильных приложений: инвентаризация и уязвимости из сторонних SDK
Безопасность начинается с понимания того, из чего состоит продукт: защищать то, о существовании чего вы не знаете, невозможно. Эту тему обсудили на круглом столе AMLive, в котором принял участие руководитель разработки продуктов CodeScoring Виталий Панасенко. Эксперты разобрали актуальные угрозы: от рисков внедрения сторонних скомпрометированных SDK до использования генеративного ИИ, который сам способен добавлять уязвимости в код.
🔗 Смотреть видео и читать текстовую версию: Anti-Malware

🔴Новые угрозы в цепочке поставки ПО и риски использования ИИ
Для обнаружения современных supply chain атак классических инструментов анализа уже недостаточно. О том, как эволюционировали угрозы за последний год, рассказал Антон Володченко в специальном видеоинтервью для редакции CISOCLUB на площадке CISO FORUM 2026. Поговорили о растущей зависимости от непроверенных open source библиотек, ИИ-рисков и шагов, которые помогут перейти к непрерывному контролю компонентов на всех этапах разработки.
🔗 Смотреть интервью: Антон Володченко про новые угрозы в цепочках поставок ПО и ИИ-риски

🪐Как Cloud Native и ИИ меняют разработку в России: участвуйте в исследовании

🔴Ассоциация облачно-ориентированных технологий (АОТ) запустила исследование State of Cloud Native — продолжение известного многим State of DevOps Russia. CodeScoring — партнёр этого проекта, и мы приглашаем вас помочь в оценке состояния индустрии.

🔴В этом году в фокусе подходы российских компаний к применению Cloud Native-технологий, ИИ в разработке и DevOps.

• Какие подходы обеспечивают безопасность разработки на разных этапах 
• Как команды используют нейросети в разработке
• Какие облачные практики и инструменты действительно работают
• Какой эффект компании получают от внедрения подобных технологий и др.

😁Если вы связаны с DevOps и разработкой, ответьте на вопросы по ссылке, это займет около 20 минут.

По итогам опроса организаторы подготовят детальный отчет со всеми ключевыми трендами 2026 года. Его результатами мы обязательно поделимся с вами!

😃 Обновление CodeScoring 2026.20.0

В версии 2026.20.0 основной акцент сделан на разборе находок, приоритизации и организации результатов по проектам и образам.

Отдельное внимание уделили работе с составом компонентов: в платформе появились инструменты для работы с внутренними пакетами, новые данные для оценки уязвимостей и дополнительные возможности при импорте и выгрузке SBOM.

🧩 Триаж уязвимостей по стандарту VEX

В CodeScoring.SCA появился механизм триажа уязвимостей по стандарту VEX. Теперь для найденных уязвимостей можно назначать статус, указывать обоснование и фиксировать принятые решения.

Разбор уязвимостей стал ближе к рабочему процессу команды: по каждой находке можно не только увидеть технические данные, но и сохранить результат ручного анализа, например подтверждение проблемы или решение о том, что уязвимость не затрагивает проект.

Также обновлены данные и возможности работы с уязвимостями:

⭕ добавлены условия политик для отозванных зависимостей и ПО-вымогателей;
⭕ в экспериментальном режиме добавлена поддержка графа вызовов Joern для JavaScript для анализа достижимости уязвимых функций;
⭕ добавлен источник CISA KEV Catalog;
⭕ добавлены столбцы и фильтры по EPSS и SSVC;
⭕ обновлена логика отображения статуса отзыва.

🧩 CodeScoring.Secrets и TruffleHog

В CodeScoring.Secrets добавлена поддержка сканирования движком TruffleHog. Разные движки находят разные секреты, а CodeScoring дедуплицирует находки, чтобы команда работала с единым результатом без ручного сопоставления повторов.

Johnny также получил поддержку TruffleHog. Помимо этого в агенте расширены сценарии сканирования секретов: добавлены git-режим, флаг --commit для сканирования директорий и флаги для передачи конфигураций Gitleaks и TruffleHog.

🔖 Слои контейнерных образов

В CodeScoring.OSA появилась отдельная страница списка слоев образов. Также таблицы слоев добавлены на страницу отсканированного образа в проекте и на страницу контейнерного образа.

Для работы со слоями в Johnny добавлены команды создания слоев контейнерных образов.

⚡ Внутренние пакеты и SBOM

Для работы с внутренними пакетами (inner source) добавлены настройки на странице зависимостей проекта и фильтрация при выгрузке SBOM. Речь о пакетах, которые компания разрабатывает внутри и не публикует в open source.

При импорте SBOM Johnny теперь обрабатывает свойства GOST:provided_by, inner_source и source-distribution.

✅ Управление ветками проектов

Отдельно продолжается работа над более гибкой моделью версий в SCA-проектах. В этом релизе стали видны отдельные элементы этой модели: теперь ветками можно управлять в настройках проекта.

Полный список изменений доступен на странице Changelog в документации.

🪐Алерты → задачи: встречайте интеграцию с Кайтен

Мы добавили интеграцию с российским таск-трекером Kaiten. Идея родилась из конкретного запроса клиента и выросла в полноценную функцию для всех пользователей.

Как это работает: когда срабатывает политика безопасности, специалист может создать задачу прямо из интерфейса и передать её команде разработки.

🌕 Вручную — если безопасник сам отбирает находки, группирует их, назначает приоритеты и ответственных.
🌕 Автоматически — подойдет для критичных кейсов, где важна скорость; задача будет создаваться при каждом срабатывании политики.

Задачи улетают на отдельную доску безопасности в Кайтен, откуда разработчики берут их в работу. Вид, тип и шаблон задачи легко настраивается.

Как подключить: генерируете токен в Кайтен и указываете его в настройках CodeScoring. Готово! Интеграция доступна с версии 2026.11.0.

🌕 Подробности в нашей документации.

Продолжаем делать AppSec-процессы удобнее 😁

#CodeScoring #безопаснаяразработка #kaiten

🔹 Весенний вебинар CodeScoring: OSA Proxy, новая модель секретов и эволюция достижимости!

Уже 9 апреля мы встретимся с вами на вебинаре, где расскажем про обновления платформы, которые помогают выстроить эффективный процесс безопасной разработки и кратно снизить рутину для команд AppSec.

В программе:⬇️
🔴Безопасность без блокировок
Расскажем про все возможности CodeScoring.OSA Proxy и покажем уникальные для рынка подходы к защите цепочки поставок.

🔴Развитие достижимости
Анализ достижимости уязвимых методов стал еще шире, ведь мы добавили поддержку Python, Go, Kotlin, C# и визуализацию графа вызовов в UI.

🔴Новая модель оценки секретов
Мы серьезно прокачали наш подход и процесс обучения, расширив тренировочные данные. Как результат: снижение числа ложных срабатываний, чтобы ИБ-специалисты тратили время только на реальные угрозы.

🔴Поговорим о новой странице уязвимости, работе с ППК/SBOM, улучшенном графе зависимостей, группы проектов, интеграции с Kaiten и многом другом!

Вы сможете пообщаться с нашей продуктовой командой и задать вопросы в прямом эфире!

Дата и время: 9 апреля в 11:00 (мск)
👉🏻 Регистрация

До встречи! 😃
#вебинар_cs

😃 Обновление CodeScoring 2026.11.0

В версии 2026.11.0 мы существенно обновили ML-модель в модуле CodeScoring.Secrets, расширили данные, доступные при анализе уязвимостей, и внедрили отдельную страницу для работы с алертами.

Также в платформе появилась интеграция с Кайтен, которая позволяет напрямую связывать результаты анализа с рабочими задачами команды.

🌟 Обновленная ML-модель для оценки истинности секретов

Начиная с лета прошлого года мы работали над улучшением ML-модели для оценки истинности найденных секретов в исходном коде!

Мы расширили и очистили обучающий набор данных, добавили новые примеры и обновили саму модель, а также переработали обработку фрагментов кода вокруг потенциальных секретов.

В результате точность распознавания выросла с 0,70 до 0,90 по метрике PR AUC – показателю, который отражает способность системы отличать реальные секреты от ложных срабатываний.

🔻 Детальная страница алерта

В интерфейсе платформы появилась отдельная страница алерта, которая позволяет подробнее изучать срабатывания политик безопасности и работать с ними напрямую.

Также расширен экспорт данных об алертах. В CSV и PDF-отчётах теперь отображается статус блокировки и заметки про игнор.

Дополнительно в экспорте используется идентификатор алерта, что упрощает сопоставление данных отчётов с объектами в интерфейсе.

⚡️Расширенные данные об уязвимостях

Платформа получила новые источники и метрики для оценки уязвимостей.

Теперь в интерфейсе отображаются:
🔴CVSS v4 - для более точной оценки риска с учётом взаимодействия пользователя и условий эксплуатации
🔴EPSS - для оценки вероятности эксплуатации уязвимости
🔴SSVC v2.0.3 - для приоритизации исправления уязвимостей по степени потенциального влияния
🔴Категории протестного ПО

Эти данные можно использовать в политиках безопасности вместе с другими параметрами уязвимостей.

Также обновлена логика отображения информации об уязвимостях. Если данные поступают из нескольких источников, теперь система:
🔴показывает максимальную оценку для каждой версии CVSS
🔴отображает самые ранние даты публикации и отзыва и самую позднюю дату обновления уязвимости
🔴использует обновлённый приоритет провайдеров метаданных

✔️ Интеграция с Кайтен

В платформе появилась интеграция с системой управления задачами Кайтен. Теперь по результатам анализа можно создавать задачи в Кайтен напрямую из интерфейса CodeScoring и связывать алерты безопасности с рабочими процессами команды.

Это упрощает передачу результатов анализа в системы управления разработкой и помогает отслеживать устранение проблем.

🌟 Развитие анализа достижимости

Мы продолжаем расширять список поддерживаемых языков в рамках анализа достижимости уязвимых функций – в этом релизе добавлено построение графа вызовов для языка C#.

Благодаря обновлению модуля Svace построение графа вызовов теперь также доступно на Windows. Также добавлена поддержка удаленного анализа.

➡️ Полный список изменений доступен на странице Changelog в документации.

😃Обновление плагинов CodeScoring для VS Code и IntelliJ-based IDE

В новом релизе плагинов 2026.8.0 добавлена возможность просмотра алертов политик безопасности прямо в IDE.

Разработчики могут видеть, какие политики сработали при анализе кода и получать детальную информацию:
🔴 уровень политики
🔴 статус блокировки
🔴 связанные пакеты
🔴 критерии, которые вызвали срабатывание

Также устранены проблемы совместимости с IntelliJ и ошибки при автоматическом применении исправлений в обоих плагинах. Работа с инструментами стала более стабильной и предсказуемой.

✔️ Теперь команды могут удобнее проверять соответствие корпоративным политикам безопасности прямо в среде разработки, ещё до того, как код попадёт в пайплайн сборки.
Это помогает заранее предотвращать нарушения и интегрировать анализ кода в привычный рабочий процесс.

Новые версии плагинов уже можно скачать в маркетплейсах ⬇️
🔴JetBrains
🔴VS Code
🔴OpenIDE