AI-sikkerhedsgennemgang

AI-sikkerhedsgennemgang læser hver ny pull request i et repository og leder efter sikkerhedssvagheder, som ændringen tilføjer. Det, den finder, skriver den som én gennemgang med kommentarer på de tilføjede linjer, højst 10 pr. pull request, hver markeret som AI-genereret. Den blokerer aldrig en pull request: gennemgangen er en kommentar, aldrig en godkendelse eller en anmodning om ændringer, dens commit-status er success eller en advarsel, aldrig en fejl, og en person beslutter, hvad der skal ske med hver kommentar.

Den supplerer scannerne i stedet for at erstatte dem. SAST, hemmelighedsscanning og de andre tjek afgør stadig, om en pull request består; gennemgangen peger på svagheder, som ingen regel beskriver, f.eks. et manglende autorisationstjek eller en værdi, der når frem til en forespørgsel uden at være kontrolleret.

Din egen udbyder, ét repository ad gangen

• Din egen nøgle. Gennemgangen bruger din organisations egen modeludbyder under AI-integrationer, faktureret til dig og under din aftale med den leverandør, ligesom AI-gennemgang af pull requests og AI-rettelse. fremforge har ingen egen AI-nøgle.
• Slås kun til pr. repository. Tilføj en tilsidesættelse pr. repository for repositoryet med funktionen pr-security-review slået til, i konsollen eller med PUT /_app/api/v1/orgs/{org}/ai/repo-overrides (policy:write). Organisationens standard gør intet for denne funktion: et repository uden en tilsidesættelse bliver aldrig gennemgået.

Hvad der sendes til modellen

• pull requestens diff, højst 48 KB;
• SAST-fundene for pull requestens ændrede filer som kontekst.

Loginoplysninger maskeres i begge, linje for linje, med push-beskyttelsens regler, før noget forlader fremforge. Kan en loginoplysning ikke maskeres, eller kan hemmelighedsscanningen ikke køre, sendes intet, og statussen fortæller hvorfor. Intet andet fra repositoryet sendes: ingen andre filer, issues, commit-beskeder eller diskussion på pull requesten. Koden sendes som data, der ikke er tillid til, med en instruks om, at den ikke indeholder instrukser.

Prompten, diffen og svaret findes kun i hukommelsen under kaldet og gemmes ikke af fremforge; kommentarerne findes kun i pull requesten. Revisionsloggen gemmer id’er og antal, aldrig indhold.

Kommentarerne

• Skrives kun på tilføjede linjer, aldrig på uændret eller fjernet kode. Alt, hvad modellen melder andre steder eller i en anden form, kasseres.
• Højst 10 pr. pull request, hver med en CWE, en alvorlighed, hvorfor det betyder noget, og et forslag.
• Hver siger, at den er AI-genereret, og nævner din udbyder og model, med en maskinlæsbar markering af oplysningen (EU AI Act Art. 50).
• Én gennemgang pr. pushet commit. Løs eller svar på kommentarerne som på enhver anden kommentar i en gennemgang.

Grænser

Højst 50 gennemgange pr. organisation inden for 24 timer, plus din AI-gateways eget månedlige loft. Din udbyder fakturerer tokens til din organisation.

Se også

• AI-integrationer: din udbyder, standarderne for funktioner og tilsidesættelserne pr. repository.
• AI-rettelse: en pull request med en rettelse for ét SAST-fund, også med din egen udbyder.
• SAST: de regelbaserede fund, gennemgangen bygger på.