GitHub внедри система за машинно обучение за откриване на уязвимости в кода

GitHub обяви добавянето на експериментална система за машинно самообучение в услугата Code scanning за откриване на обичайни типове уязвимости в кода. В етапа на тестването новата функция е достъпна само за репозитории с код на JavaScript и TypeScript. Отбелязва се, че използването на машинно самообучение е разширило значително обхвата на откритите проблеми, при анализ които системата вече не е ограничена до проверка на стандартни шаблони и не е свързана с известни фреймуърци. От новата система се споменават проблеми, включително грешки, които водят до междусайтово скриптиране (XSS), и изкривяване на файлови пътища (например, чрез указване на „/..“), подмяна на SQL и NoSQL запитвания.

Услугата Code scanning позволява откриване на уязвимости в ранния етап на разработка чрез сканиране на всяка операция „git push“ за потенциални проблеми. Резултатът се прикрепя директно към pull-заявката. Преди системата извършваше проверки с помощта на движка CodeQL, който анализира шаблони с примерен уязвим код (CodeQL позволява формулирането на шаблон за уязвим код, за да открие подобна уязвимост в кода на други проекти). Новият двигател, използващ машинно самообучение, може да определя преди това неизвестни уязвимости, тъй като не е свързан с проба на шаблони, описващи конкретни уязвимости. Цената на подобна възможност е увеличен брой фалшиви позитиви в сравнение с проверките, основани на CodeQL.

Източник: opennet.ru