AI-säkerhetsgranskning

AI-säkerhetsgranskning läser varje ny pull request i ett repo och letar efter säkerhetssvagheter som ändringen lägger till. Det den hittar skriver den som en granskning med kommentarer på de tillagda raderna, högst 10 per pull request, var och en märkt som AI-genererad. Den blockerar aldrig en pull request: granskningen är en kommentar, aldrig ett godkännande eller en begäran om ändringar, dess commit-status är success eller en varning, aldrig ett fel, och en person avgör vad som ska göras med varje kommentar.

Den kompletterar skannrarna i stället för att ersätta dem. SAST, hemlighetsskanning och de andra kontrollerna avgör fortfarande om en pull request går igenom; granskningen pekar på svagheter som ingen regel beskriver, till exempel en saknad behörighetskontroll eller ett värde som når en fråga okontrollerat.

Din egen leverantör, ett repo i taget

• Egen nyckel. Granskningen använder din organisations egen modelleverantör under AI-integrationer, som faktureras dig och omfattas av ditt avtal med den leverantören, precis som AI-granskning av pull requests och AI-fix. fremforge har ingen egen AI-nyckel.
• Slås bara på per repo. Lägg till en överstyrning per repo för repot med funktionen pr-security-review påslagen, i konsolen eller med PUT /_app/api/v1/orgs/{org}/ai/repo-overrides (policy:write). Organisationens standardinställning gör ingenting för den här funktionen: ett repo utan överstyrning granskas aldrig.

Vad som skickas till modellen

• pull requestens diff, högst 48 KB;
• SAST-fynden för pull requestens ändrade filer, som kontext.

Autentiseringsuppgifter maskeras i båda, rad för rad, med push-skyddets regler, innan något lämnar fremforge. Om en autentiseringsuppgift inte kan maskeras, eller om hemlighetsskanningen inte kan köras, skickas ingenting och statusen säger varför. Inget annat från repot skickas: inga andra filer, ärenden, commit-meddelanden eller diskussioner i pull requesten. Koden skickas som opålitlig data, med en instruktion om att den inte innehåller några instruktioner.

Prompten, diffen och svaret finns bara i minnet under anropet och lagras inte av fremforge; kommentarerna finns bara i pull requesten. Granskningsloggen sparar id:n och antal, aldrig innehåll.

Kommentarerna

• Skrivs bara på tillagda rader, aldrig på oförändrad eller borttagen kod. Allt som modellen rapporterar någon annanstans, eller i någon annan form, kastas.
• Högst 10 per pull request, var och en med en CWE, en allvarlighetsgrad, varför det spelar roll och ett förslag.
• Var och en säger att den är AI-genererad och anger din leverantör och modell, med en maskinläsbar markering för upplysningen (EU AI Act Art. 50).
• En granskning per pushad commit. Lös eller svara på kommentarerna som på vilken granskningskommentar som helst.

Gränser

Högst 50 granskningar per organisation under en 24-timmarsperiod, plus din AI-gateways eget månadstak. Din leverantör fakturerar tokens till din organisation.

Se även

• AI-integrationer: din leverantör, standardinställningarna för funktioner och överstyrningarna per repo.
• AI-fix: en pull request med en rättning för ett SAST-fynd, också med din egen leverantör.
• SAST: de regelbaserade fynden som granskningen bygger på.