GitHub представила Code Security Risk Assessment — бесплатную автоматическую проверку репозиториев на уязвимости. Сервис выполняет сканирование в один клик и не требует лицензий, настроек или долгого внедрения.
Инструмент предназначен для администраторов организаций и специалистов по безопасности на тарифах GitHub Enterprise Cloud и GitHub Team. Оценка выполняется с помощью CodeQL, статического анализатора GitHub, и охватывает до 20 самых активных репозиториев организации.
По итогам сканирования формируется панель с ключевыми результатами. Она позволяет быстро оценить, какие уязвимости есть в кодовой базе, как они распределены по проектам и где сосредоточены основные риски.
Code Security Risk Assessment запускается из общего интерфейса с Secret Risk Assessment. Теперь оба отчёта доступны из одной точки входа с переключением по вкладкам, что даёт единый обзор по утечкам секретов и уязвимостям в исходном коде.
GitHub напоминает, что Secret Risk Assessment за прошлый год помог тысячам организаций оценить риск утечек учётных данных. Клиенты, использующие Secret Protection, за 2025 год просканировали почти 2 миллиарда push-операций и заблокировали 19 миллионов попыток утечки секретов.
Новая оценка риска по коду продолжает этот подход: сначала компании получают прозрачную картину проблем, затем могут перейти к внедрению продуктов GitHub. Secret Protection снижает риск утечки ключей и токенов, а Code Security помогает находить и устранять уязвимости в коде. По словам GitHub, сами оценки наглядно показывают, зачем нужны эти решения.
В отчёте Code Security Risk Assessment также указывается, какая часть обнаруженных уязвимостей может быть исправлена с помощью Copilot Autofix. Это даёт представление о том, насколько быстро можно начать снижать риски при включении GitHub Code Security.
Запустить оценку могут как команды, которые ещё не используют автоматические проверки безопасности, так и те, кто пересматривает набор инструментов или хочет получить более широкий взгляд на риски в масштабах всей организации. GitHub подчёркивает, что запуск занимает считаные минуты и способен изменить подход компании к своей защитной стратегии.
По данным GitHub, в Code Security используются CodeQL и механизмы поиска уязвимостей на базе ИИ. Это позволяет находить проблемы в большем числе языков и фреймворков, а также реагировать на новые векторы атак, включая попытки кражи секретов из проектов с открытым исходным кодом.
Источник: материалы GitHub.
