GitHub: AI sigurnosne detekcije na pull requestovima i /security-review u Copilot appu

Što je SAST i zašto GitHub integrira AI u taj proces?

Statička analiza koda (SAST, engl. Static Application Security Testing) je metoda koja automatski pregledava izvorni kod u potrazi za sigurnosnim ranjivostima — prije pokretanja aplikacije i prije spajanja koda. GitHub-ov Code Scanning već koristi CodeQL kao primarni SAST alat, ali CodeQL nativno podržava ograničen skup programskih jezika. Nova AI sloj popunjava tu prazninu i donosi sigurnosnu analizu za jezike koje CodeQL dosad nije pokrivao.

AI detekcije direktno na pull requestovima

GitHub Code Scanning sada prikazuje AI-generirane sigurnosne detekcije izravno unutar sučelja pull requesta. Svaka detekcija jasno je označena labelom AI kako bi developeri mogli razlikovati tradicionalne CodeQL nalaze od onih koje je generirala AI analiza. Ključna prednost je pokrivenost: AI detekcije pokrivaju jezike koje CodeQL ne podržava nativno, čime se sigurnosna provjera proširuje na širi skup kodnih baza. Developeri na taj način dobivaju upozorenja u trenutku kada je intervencija najjeftinija — prije mergea, a ne tek nakon deploymenta.

Nova naredba /security-review u Copilot appu

Paralelno s Code Scanning promjenom, GitHub uvodi naredbu /security-review u GitHub Copilot chat sučelju. Korisnik može označiti kod ili cijeli fajl i pokrenuti sigurnosnu analizu direktno iz chata. Sustav prepoznaje četiri kategorije ranjivosti: injection napade (SQL, command injection), cross-site scripting (XSS), path traversal i slabu kriptografiju. Za razliku od Code Scanninga koji radi automatski u CI/CD pipeline, /security-review je interaktivni alat koji developer poziva po potrebi — primjerice, pri pregledu tuđeg koda ili refaktoriranju osjetljivih dijelova.

Integracija i tržišni kontekst

Obje novosti izašle su istog dana kao koordinirani iskorak GitHub-a u AI-assisted sigurnost. Za usporedbu, konkurenti poput Snyk i Semgrep već dulje nude AI sloj na vrhu statičke analize, no integracija direktno u GitHub sučelje — bez dodatnih alata ili licence — znači da sigurnosna analiza postaje dostupna svim korisnicima GitHub Copilota, neovisno o tipu projekta ili jeziku.