GitHub는 코드의 취약점을 검색하는 기계 학습 시스템을 구현했습니다.

GitHub는 코드의 일반적인 유형의 취약점을 식별하기 위해 코드 검색 서비스에 실험적인 기계 학습 시스템을 추가한다고 발표했습니다. 테스트 단계에서 새로운 기능은 현재 JavaScript 및 TypeScript 코드가 있는 리포지토리에서만 사용할 수 있습니다. 머신러닝 시스템을 사용하면 시스템이 더 이상 표준 템플릿 확인에만 국한되지 않고 잘 알려진 프레임워크에 얽매이지 않고 분석할 때 식별된 문제의 범위가 크게 확장될 수 있게 되었습니다. 새로운 시스템에서 확인된 문제 중에는 XSS(교차 사이트 스크립팅), 파일 경로 왜곡(예: "/.." 표시를 통해), SQL 및 NoSQL 쿼리 대체로 이어지는 오류가 언급됩니다.

코드 스캔 서비스를 사용하면 잠재적인 문제가 있는지 각 "git push" 작업을 스캔하여 개발 초기 단계에서 취약점을 식별할 수 있습니다. 결과는 풀 요청에 직접 첨부됩니다. 이전에는 취약한 코드의 일반적인 예가 포함된 템플릿을 분석하는 CodeQL 엔진을 사용하여 검사가 수행되었습니다(CodeQL을 사용하면 취약한 코드 템플릿을 생성하여 다른 프로젝트의 코드에서 유사한 취약성의 존재를 식별할 수 있습니다). 머신러닝을 활용하는 새로운 엔진은 특정 취약점을 설명하는 코드 템플릿을 나열하는 데 얽매이지 않기 때문에 이전에 알려지지 않은 취약점을 식별할 수 있습니다. 이 기능의 비용은 CodeQL 기반 검사에 비해 오탐지 수가 증가한다는 것입니다.

출처 : opennet.ru