AI-sikkerhetsgjennomgang

AI-sikkerhetsgjennomgang leser hver nye pull request i et repository og ser etter sikkerhetssvakheter som endringen legger til. Det den finner, legger den inn som én gjennomgang med kommentarer på de tilføyde linjene, høyst 10 per pull request, hver merket som AI-generert. Den blokkerer aldri en pull request: gjennomgangen er en kommentar, aldri en godkjenning eller en forespørsel om endringer, commit-statusen er success eller en advarsel, aldri en feil, og en person bestemmer hva som skal gjøres med hver kommentar.

Den utfyller skannerne i stedet for å erstatte dem. SAST, skanning etter secrets og de andre sjekkene avgjør fortsatt om en pull request består; gjennomgangen peker på svakheter som ingen regel beskriver, for eksempel en manglende autorisasjonssjekk eller en verdi som når en spørring ukontrollert.

Din egen leverandør, ett repository om gangen

• Ta med din egen nøkkel. Gjennomgangen bruker organisasjonens egen modelleverandør under AI-integrasjoner, fakturert til deg og under din avtale med den leverandøren, slik AI-gjennomgang av pull requests og AI-rettelse gjør. fremforge har ingen egen AI-nøkkel.
• Slås bare på per repository. Legg til en overstyring per repository for repositoryet med funksjonen pr-security-review slått på, i konsollen eller med PUT /_app/api/v1/orgs/{org}/ai/repo-overrides (policy:write). Organisasjonens standard gjør ingenting for denne funksjonen: et repository uten overstyring blir aldri gjennomgått.

Hva som sendes til modellen

• diffen til pull requesten, høyst 48 KB;
• SAST-funnene for de endrede filene i pull requesten, som kontekst.

Legitimasjon maskeres i begge, linje for linje, med reglene for push-beskyttelse, før noe forlater fremforge. Kan en legitimasjon ikke maskeres, eller kan skanningen etter secrets ikke kjøre, sendes ingenting, og statusen sier hvorfor. Ingenting annet fra repositoryet sendes: ingen andre filer, issues, commit-meldinger eller diskusjon i pull requesten. Koden sendes som data det ikke er tillit til, med en instruks om at den ikke inneholder instrukser.

Prompten, diffen og svaret finnes bare i minnet under kallet og lagres ikke av fremforge; kommentarene finnes bare i pull requesten. Revisjonsloggen tar vare på ID-er og antall, aldri innhold.

Kommentarene

• Legges bare inn på tilføyde linjer, aldri på uendret eller fjernet kode. Alt modellen melder andre steder, eller i en annen form, forkastes.
• Høyst 10 per pull request, hver med en CWE, en alvorlighetsgrad, hvorfor det betyr noe, og et forslag.
• Hver sier at den er AI-generert og nevner leverandøren og modellen din, med en maskinlesbar opplysningsmarkør (EU AI Act Art. 50).
• Én gjennomgang per pushet commit. Løs eller svar på kommentarene som på enhver annen kommentar i en gjennomgang.

Grenser

Høyst 50 gjennomganger per organisasjon i løpet av 24 timer, pluss AI-gatewayens eget månedlige tak. Leverandøren din fakturerer tokenene til organisasjonen din.

Se også

• AI-integrasjoner: leverandøren din, standardene for funksjoner og overstyringene per repository.
• AI-rettelse: en pull request med en rettelse for ett SAST-funn, også med din egen leverandør.
• SAST: de regelbaserte funnene gjennomgangen bygger på.