AI-beveiligingsreview

AI-beveiligingsreview leest elke nieuwe pull request in een repository en zoekt naar beveiligingszwakheden die de wijziging toevoegt. Wat het vindt, plaatst het als één review met opmerkingen bij de toegevoegde regels, hoogstens 10 per pull request, elk gemarkeerd als door AI gegenereerd. Het blokkeert nooit een pull request: de review is een opmerking, nooit een goedkeuring of een verzoek om wijzigingen, de commitstatus is success of een waarschuwing, nooit een mislukking, en een persoon beslist wat er met elke opmerking gebeurt.

Het vult de scanners aan in plaats van ze te vervangen. SAST, secretscanning en de andere controles bepalen nog steeds of een pull request slaagt; de review wijst op zwakheden die geen regel beschrijft, zoals een ontbrekende autorisatiecontrole of een waarde die ongecontroleerd een query bereikt.

Je eigen provider, één repository tegelijk

• Je eigen sleutel. De review gebruikt de eigen modelprovider van je organisatie onder AI-integraties, gefactureerd aan jou en onder je contract met die leverancier, zoals AI-review van pull requests en AI-fix. fremforge heeft zelf geen AI-sleutel.
• Alleen per repository in te schakelen. Voeg voor de repository een uitzondering per repository toe met de functie pr-security-review aan, in de console of met PUT /_app/api/v1/orgs/{org}/ai/repo-overrides (policy:write). De standaardinstelling van de organisatie doet niets voor deze functie: een repository zonder uitzondering wordt nooit gereviewd.

Wat er naar het model gaat

• de diff van de pull request, hoogstens 48 KB;
• de SAST-bevindingen voor de gewijzigde bestanden van de pull request, als context.

Credentials worden in beide regel voor regel gemaskeerd met de regels van push-bescherming, voordat er iets fremforge verlaat. Als een credential niet kan worden gemaskeerd, of de secretscan niet kan draaien, wordt er niets verstuurd en staat in de status waarom. Verder wordt er niets uit de repository verstuurd: geen andere bestanden, issues, commitberichten of discussie in de pull request. De code wordt verstuurd als onbetrouwbare data, met de instructie dat die geen instructies bevat.

De prompt, de diff en het antwoord bestaan alleen in het geheugen tijdens de aanroep en worden niet door fremforge opgeslagen; de opmerkingen bestaan alleen in de pull request. De auditlog bewaart id’s en aantallen, nooit inhoud.

De opmerkingen

• Alleen bij toegevoegde regels, nooit bij ongewijzigde of verwijderde code. Alles wat het model elders of in een andere vorm meldt, wordt weggegooid.
• Hoogstens 10 per pull request, elk met een CWE, een ernst, waarom het ertoe doet en een suggestie.
• Elke opmerking zegt dat ze door AI is gegenereerd en noemt je provider en model, met een machineleesbare openbaarmakingsmarkering (EU AI Act Art. 50).
• Eén review per gepushte commit. Los de opmerkingen op of reageer erop zoals op elke reviewopmerking.

Limieten

Hoogstens 50 reviews per organisatie in elke periode van 24 uur, plus de eigen maandlimiet van je AI-gateway. Je provider factureert de tokens aan je organisatie.

Zie ook

• AI-integraties: je provider, de standaardinstellingen per functie en de uitzonderingen per repository.
• AI-fix: een fix-pull-request voor één SAST-bevinding, ook met je eigen provider.
• SAST: de regelgebaseerde bevindingen waarop de review voortbouwt.