Microsoft и GitHub объединяют силы для безопасности кода с помощью ИИ

Microsoft и GitHub объединили аналитику времени выполнения с рабочими процессами разработки, чтобы использовать ИИ для приоритизации угроз и автоматизации исправлений. Нативная интеграция между Microsoft Defender for Cloud и GitHub Advanced Security позволит решить проблему накопленной задолженности по безопасности в корпоративных кодовых базах.

Инструмент уже доступен в общедоступной предварительной версии и подключает аналитику времени выполнения из производственных сред непосредственно к рабочим процессам разработки. Это поможет организациям определить приоритетность уязвимостей и использовать ИИ для их более быстрого устранения.

По словам вице-президента по управлению продуктами GitHub Марсело Оливейры, проблема заключается в том, что люди просто не успевают исправлять ошибки достаточно быстро, что привело к накоплению долга по безопасности.

Отраслевые данные показывают, что уязвимости критической и высокой степени серьёзности составляют 17,4% от общего числа незакрытых задач безопасности, а среднее время их устранения достигает 116 дней. При этом приложения подвергаются атакам примерно каждые три минуты.

Интеграция представляет собой первое нативное связующее звено между аналитикой среды выполнения и рабочими процессами разработчиков, отметила директор по маркетингу продуктов в области облачной безопасности и безопасности ИИ в Microsoft Элиф Альгедик.

Организации создают в среднем более 500 новых приложений в год, и по мере роста объёма кода разрыв между разработкой и безопасностью увеличивается. Интеграция устраняет этот разрыв, помогая командам безопасности отличать реальные риски от теоретических, а разработчикам – расставлять приоритеты.

Старший директор по сервисам, языкам и инструментам для разработчиков Microsoft Эндрю Флик называет это дилеммой DevSecOps: команды безопасности увязают в оповещениях, ИИ внедряет новые векторы угроз, разработчикам не хватает приоритетов, а устранение уязвимостей занимает много времени.

Новая интеграция работает в обоих направлениях. Defender for Cloud обнаруживает уязвимость в работающей рабочей нагрузке, контекст выполнения переносится в GitHub, показывая разработчикам, связана ли уязвимость с интернетом, обрабатываются ли конфиденциальные данные или она действительно раскрыта в рабочей среде.

Например, Defender for Cloud обнаруживает уязвимость в API, доступном через интернет и обрабатывающем конфиденциальные данные. Теперь в GitHub можно создать кампанию безопасности, фильтруя риски времени выполнения и уведомляя разработчика о необходимости приоритизировать задачу. После этого он может использовать Copilot Autofix для применения предложенного ИИ решения.

Интеграция использует возможности ИИ GitHub для «агентских исправлений», позволяя создавать кампании безопасности и назначать ИИ-агентам пакетное исправление уязвимостей.

По словам Оливейры, Copilot поможет разобраться с конфликтами и объединить исправления в один pull request, проверив конвейер непрерывной интеграции.

GitHub сообщает, что Copilot Autofix исправляет 50% оповещений в запросах на выдачу, сокращая среднее время устранения неполадок на 70%. В ходе кампаний по безопасности было устранено 68% оповещений.

Альгедик выделила три преимущества интеграции: беспрепятственное взаимодействие команд, ускорение процесса исправления благодаря ИИ и расстановка приоритетов, сопоставляя угрозы во время выполнения с их источником в коде.

Microsoft переводит IT-инфраструктуру GitHub на серверы Azure в течение 24 месяцев.

В общем, кажется, что теперь все будут спать спокойно, зная, что ИИ присмотрит за их кодом. Хотя, конечно, кто знает, какие новые уязвимости он сам создаст в процессе...