GitHub הטמיעה מערכת למידת מכונה לחיפוש נקודות תורפה בקוד

GitHub הכריזה על הוספת מערכת למידת מכונה ניסיונית לשירות סריקת הקוד שלה כדי לזהות סוגים נפוצים של פגיעויות בקוד. בשלב הבדיקה, הפונקציונליות החדשה זמינה כרגע רק עבור מאגרים עם קוד ב-JavaScript ו-TypeScript. יצוין כי השימוש במערכת למידת מכונה איפשר להרחיב משמעותית את מגוון הבעיות שזוהו, כאשר מנתחים אותן המערכת אינה מוגבלת עוד לבדיקת תבניות סטנדרטיות ואינה קשורה למסגרות מוכרות. בין הבעיות שזוהתה על ידי המערכת החדשה, מוזכרות שגיאות המובילות לסקריפט חוצה אתרים (XSS), עיוות של נתיבי קבצים (לדוגמה, באמצעות ציון "/."), החלפה של שאילתות SQL ו-NoSQL.

שירות סריקת הקוד מאפשר לך לזהות נקודות תורפה בשלב מוקדם של הפיתוח על ידי סריקת כל פעולת "גיט push" לאיתור בעיות פוטנציאליות. התוצאה מצורפת ישירות לבקשת המשיכה. בעבר, הבדיקה בוצעה באמצעות מנוע CodeQL, המנתח תבניות עם דוגמאות אופייניות לקוד פגיע (CodeQL מאפשר ליצור תבנית קוד פגיע כדי לזהות נוכחות של פגיעות דומה בקוד של פרויקטים אחרים). המנוע החדש, המשתמש בלמידה חישובית, יכול לזהות נקודות תורפה שלא היו ידועות בעבר מכיוון שהוא אינו קשור לספירת תבניות קוד המתארות נקודות תורפה ספציפיות. העלות של תכונה זו היא עלייה במספר התוצאות השוואתיות בהשוואה לבדיקות מבוססות CodeQL.

מקור: OpenNet.ru