Revue de sécurité IA

La revue de sécurité IA lit chaque nouvelle pull request d’un dépôt et recherche les faiblesses de sécurité qu’ajoute la modification. Elle publie ce qu’elle trouve sous la forme d’une revue unique, avec des commentaires sur les lignes ajoutées, au plus 10 par pull request, chacun signalé comme généré par IA. Elle ne bloque jamais une pull request : la revue est un commentaire, jamais une approbation ni une demande de modifications, son statut de commit est success ou un avertissement, jamais un échec, et une personne décide de la suite à donner à chaque commentaire.

Elle complète les analyseurs sans les remplacer. SAST, l’analyse des secrets et les autres contrôles décident toujours si une pull request passe ; la revue signale des faiblesses qu’aucune règle ne décrit, comme un contrôle d’autorisation manquant ou une valeur qui atteint une requête sans être vérifiée.

Votre propre fournisseur, un dépôt à la fois

• Votre propre clé. La revue utilise le fournisseur de modèles propre à votre organisation sous Intégrations IA, facturé à vous et sous votre contrat avec ce fournisseur, comme la revue de pull request par IA et le Correctif IA. fremforge ne détient aucune clé d’IA à lui.
• Activée par dépôt uniquement. Ajoutez pour le dépôt une dérogation par dépôt avec la fonctionnalité pr-security-review activée, dans la console ou avec PUT /_app/api/v1/orgs/{org}/ai/repo-overrides (policy:write). La valeur par défaut de l’organisation n’a aucun effet pour cette fonctionnalité : un dépôt sans dérogation n’est jamais examiné.

Ce qui est envoyé au modèle

• le diff de la pull request, au plus 48 KB ;
• les résultats SAST pour les fichiers modifiés de la pull request, comme contexte.

Les identifiants secrets sont masqués dans les deux, ligne par ligne, avec les règles de protection des push, avant que quoi que ce soit ne quitte fremforge. Si un identifiant secret ne peut pas être masqué, ou si l’analyse des secrets ne peut pas s’exécuter, rien n’est envoyé et le statut indique pourquoi. Rien d’autre du dépôt n’est envoyé : ni autres fichiers, ni tickets, ni messages de commit, ni discussion de la pull request. Le code est envoyé comme donnée non fiable, avec une instruction précisant qu’il ne contient aucune instruction.

Le prompt, le diff et la réponse n’existent qu’en mémoire pendant l’appel et ne sont pas conservés par fremforge ; les commentaires n’existent que dans la pull request. Le journal d’audit conserve des identifiants et des décomptes, jamais de contenu.

Les commentaires

• Publiés uniquement sur les lignes ajoutées, jamais sur du code inchangé ou supprimé. Tout ce que le modèle signale ailleurs, ou sous une autre forme, est écarté.
• Au plus 10 par pull request, chacun avec une CWE, une gravité, la raison pour laquelle c’est important et une suggestion.
• Chacun indique qu’il est généré par IA et nomme votre fournisseur et votre modèle, avec un marqueur de divulgation lisible par machine (EU AI Act Art. 50).
• Une revue par commit poussé. Résolvez les commentaires ou répondez-y comme à tout commentaire de revue.

Limites

Au plus 50 revues par organisation sur toute période de 24 heures, en plus du plafond mensuel propre à votre passerelle IA. Votre fournisseur facture les tokens à votre organisation.

Voir aussi

• Intégrations IA : votre fournisseur, les valeurs par défaut des fonctionnalités et les dérogations par dépôt.
• Correctif IA : une pull request de correctif pour un résultat SAST, également avec votre propre fournisseur.
• SAST : les résultats à base de règles sur lesquels s’appuie la revue.