Администрация GitHub сообщила о запуске первой бета-версии функции автоматического поиска и устранения уязвимостей в коде прямо в процессе его написания. Функция сочетает в себя возможности ассистента GitHub Copilot и системы CodeQL для семантического анализа кода.
Источник изображения: Rubaitul Azad / unsplash.com
Новая функция сможет исправлять более двух третей обнаруженных ей уязвимостей — зачастую без необходимости самостоятельного редактирования кода разработчиком, уверяет администрация платформы. Автоматическое исправление кода на основе сканирования будет охватывать более 90 % типов оповещений с поддерживаемыми языками. В их число сейчас входят JavaScript, Typescript, Java и Python. Функция доступна для всех пользователей GitHub Advanced Security (GHAS).
Источник изображения: github.blog
Первое поколение системы CodeQL на GitHub вышло ещё в 2019 году, когда платформа поглотила разработавший её стартап Semmle. За минувшие годы в систему внесли ряд улучшений, но одно оставалось неизменным — она доступна бесплатно только для исследователей и разработчиков проектов с открытым исходным кодом. Исправление уязвимостей в коде и подготовка пояснений к ним будет осуществляться моделью OpenAI GPT-4. В администрации GitHub сообщили, что большинство предложений по автоматической правке кода будут правильными, но предупредили, что «небольшой процент предлагаемых исправлений будет отражать существенное непонимание [системой] кодовой базы или уязвимости».