GitHub выпускает инструмент на базе ИИ для обнаружения и устранения уязвимостей в коде
Компания заявила, что инструмент устранения уязвимостей на основе ИИ под названием Autofix Copilot, теперь доступен для всех в GitHub Advanced Security. Первоначально инструмент был представленный для бета-тестировании в марте этого года. Он использует продвинутый генеративный ИИ для обнаружения уязвимостей в новом коде и предлагает решения для устранения проблем до того, как код будет запущен в производство.
«Инструменты сканирования кода обнаруживают уязвимости, но они не решают фундаментальную проблему: исправление требует экспертных знаний в области безопасности и времени - двух ценных ресурсов, которых критически не хватает», — сказал Майк Хэнли, директор по безопасности и старший вице-президент по инжинирингу в GitHub. «Другими словами, поиск уязвимостей — это не проблема. Проблема в их устранении».
Autofix работает аналогично инструменту Copilot на базе ИИ, который помогает разработчикам быстро генерировать программный код. Инструмент работает вместе с разработчиками программ как эксперт по безопасности, который может сканировать существующий код, обнаруживать уязвимости и предоставлять точные объяснения того, почему фрагмент кода является проблемным, а также предлагать исправление, помогающее решить проблему.
По данным GitHub, полученным за период бета-тестирования, клиенты увидели отличные результаты в сокращении времени, необходимого для обнаружения проблем и их устранения. Компания заявила, что в целом при использовании Autofix среднее время исправления сократилось втрое — с 1,5 часов при ручном выполнении до 28 минут в автоматическом режиме.
«С момента внедрения Copilot Autofix мы заметили сокращение на 60% времени, затрачиваемого на проверку кода, связанного с безопасностью, и увеличение общей производительности разработки на 25%», — сказал Кевин Купер, главный инженер американского поставщика медицинских технологий Optum Inc. «В сфере здравоохранения, где безопасность имеет решающее значение, это помогает нам быстро действовать на основе проверенных отраслевых решений. Этот проактивный подход к безопасности помогает нам предотвращать потенциальные проблемы, экономя тысячи часов в месяц, которые в противном случае были бы потрачены на исправление».
Для генерации предложений по исправлению кода Autofix использует специализированный движок сканирования кода CodeQL в сочетании с флагманской моделью искусственного интеллекта GPT-4o от OpenAI. Инструмент может работать с большими массивами частных корпоративных баз программного кода, предоставленных пользователями, а также с библиотеками открытого кода.
«Будучи всемирным домом сообщества разработчиков ПО с открытым исходным кодом, GitHub имеет уникальную возможность помогать программистам обнаруживать и устранять уязвимости, чтобы сделать ПО с открытым исходным кодом безопаснее и надежнее для всех», — сказал Хэнли.
