GitHub teatas koodiskaneerimise teenusele eksperimentaalse masinõppe süsteemi lisamisest, et tuvastada koodis levinud haavatavusi. Testimise faasis on uus funktsionaalsus hetkel saadaval ainult JavaScripti ja TypeScripti koodiga hoidlatele. Tõdetakse, et masinõppe süsteemi rakendamine on oluliselt laiendanud tuvastatavaid probleeme, kuna analüüs ei piirdu enam ainult tüüpiliste mustrite kontrollimisega ega pruugi olema seotud tuntud raamistikega. Uue süsteemi tuvastatavate probleemidena mainitakse näiteks vigu, mis võivad põhjustada veebisaitide ristskripti (XSS) ja failiteede moonutamist (näiteks kasutades „/..”), samuti SQL- ja NoSQL-päringute sisestamist.
Code skaneerimise teenus võimaldab avastada haavatavusi arenduse varases etapis, skaneerides iga 'git push' toimingut võimalike probleemide osas. Tulemus lisatakse otse pull-request'ile. Varasemalt teostati kontrolli CodeQL mootori abil, mis analüüsib mustrite järgi haavatava koodi tüüpilisi näiteid (CodeQL võimaldab luua haavatava koodi mustri, et tuvastada sarnaste haavatavuste olemasolu teiste projektide koodis). Uus masinõpet kasutav mootori võib määrata varem tundmatud haavatavused, kuna see ei põhine haavatavusi kirjeldavatel koodimustritel. Sellise võimaluse hind on valehäirete arvu suurenemine võrreldes CodeQL-põhiste kontrollidega.
Allikas: opennet.ru
