GitHub добавила ИИ-проверку кода и агента для исправления уязвимостей

GitHub перевела в общую доступность два инструмента безопасности. AI Scan ищет уязвимости в изменениях, предложенных через запрос на включение кода — pull request. Он дополняет CodeQL там, где его покрытия пока нет: например, в PHP, Bash, конфигурациях Terraform и Dockerfile.

Замечания появляются рядом с результатами CodeQL с меткой AI. Они могут содержать объяснение риска и предлагаемое исправление, но не блокируют слияние кода. Запросы из форков и от Dependabot AI Scan не проверяет.

Второй инструмент, Agentic autofix, работает с уже найденными предупреждениями безопасности: изучает связанные файлы, предлагает правку и повторно запускает CodeQL. Когда проверка подтверждает устранение предупреждения, агент открывает черновой pull request для проверки разработчиками. Ему можно поручить до 25 предупреждений за раз, собрав исправления в один запрос. Поддерживается только ветка репозитория, выбранная по умолчанию.

Условия доступа различаются. AI Scan доступен для публичных репозиториев; для закрытых и внутренних репозиториев организаций нужен Code Security или Advanced Security. Лицензия Copilot не требуется. В анонсе Agentic autofix GitHub указала Enterprise Cloud, однако действующая документация разрешает включать его и для публичных репозиториев личных аккаунтов, а также репозиториев организаций с Code Security или Advanced Security. Функцию включает администратор; отдельная лицензия Copilot не требуется.

Оба инструмента расходуют Code Security AI Credits, а агентное исправление — ещё и минуты GitHub Actions. Оба выпуска объявлены 15 октября.

#новости #security #software
@digitaltimeslv

Илл. Проверка кода на GitHub: предупреждение CodeQL об XSS и пояснение к найденной уязвимости.