GitHub расширяет возможности платформы Code Security за счёт ИИ-детектирования уязвимостей в дополнение к статическому анализу на базе CodeQL. Новые функции призваны охватить больше языков и фреймворков и уже в начале второго квартала выйдут в публичный превью.
Компания отмечает, что ИИ-детекторы дополняют CodeQL и помогают находить уязвимости там, где классический статический анализ работает хуже. Речь идёт о скриптах, инфраструктурных конфигурациях и компонентах, написанных на дополнительных языках и технологиях за пределами привычных enterprise‑стеков.
GitHub использует гибридную модель: CodeQL применяют для глубокой семантической проверки поддерживаемых языков, а ИИ-детектирование подключают для новых экосистем. Результаты разработчики видят напрямую в pull request вместе с другими находками code scanning, включая небезопасные строковые SQL‑запросы и команды, слабые криптографические алгоритмы и конфигурации инфраструктуры, которые могут раскрывать чувствительные ресурсы.
По данным внутреннего тестирования, система обработала более 170 000 срабатываний за 30 дней, свыше 80% из которых получили положительную оценку разработчиков. Особенно заметно расширилось покрытие для Shell/Bash, Dockerfile, Terraform (HCL) и PHP.
Новая функция встроена в агентную платформу детектирования GitHub, которая поддерживает сценарии безопасности, контроля качества и ревью кода на всех этапах разработки. Такой подход сочетает точность статического анализа и дополнительный контекст от ИИ, чтобы по мере ускорения разработки выявлять новые классы уязвимостей.
Pull request остаётся центральной точкой, где разработчики проверяют и утверждают изменения, поэтому именно здесь GitHub Code Security автоматически выбирает подходящий метод анализа — CodeQL или ИИ‑детектирование. Это позволяет выявлять риски раньше, без изменения привычных процессов и инструментов команд.
GitHub связывает обнаружение и устранение уязвимостей через Copilot Autofix. Этот инструмент предлагает варианты исправлений, которые разработчики могут просмотреть, протестировать и принять в рамках обычного процесса код-ревью.
По данным GitHub, Copilot Autofix уже применяют в широком масштабе: в 2025 году с его помощью исправлено более 460 000 предупреждений по безопасности. Среднее время до устранения уязвимости с Autofix составило 0,66 часа против 1,29 часа без него.
Комбинация расширенного обнаружения и Copilot Autofix помогает командам быстрее проходить путь от выявления риска до его устранения. Поскольку GitHub находится на точке слияния изменений, службы безопасности могут добиваться нужных результатов именно там, где код рецензируют и принимают, а не после релиза.
На конференции RSAC GitHub покажет, как ИИ‑детектирование расширяет покрытие безопасности прямо в pull request. Компания рассматривает это как шаг к более глубокой, усиленной ИИ статической аналитике в рамках своей агентной платформы детектирования. Посетители стенда GitHub на RSAC (№2327) смогут увидеть, как гибридное обнаружение, интегрированное исправление и управление политиками работают вместе для защиты современных процессов разработки.
Источник: материалы GitHub.
