GitHub обяви защитна стена за пакети (package firewall), която проверява npm пакетите спрямо корпоративните политики за сигурност, преди те да бъдат инсталирани. Тя блокира известен зловреден софтуер, критични уязвимости и съвсем нови версии, като всеки разработчик може да я активира, насочвайки npm към защитната стена.
Проверките се извършват преди даден пакет да достигне до лаптоп, среда за компилиране (build) или софтуерен AI агент. От GitHub посочват, че AI агентите помагат на разработчиците да създават повече софтуер по-бързо, а защитната стена е едно от четири нови подобрения за сигурност, насочени към откриване на проблеми на по-ранен етап.
Какво се счита за нова версия
Правилото на защитната стена за съвсем нови версии се основава на датата на издаване на пакета.
„Разчитаме на метаданните на пакета за датите на издаване, което е част от отговорността на мениджърите на пакети. Позволяваме на потребителите да променят и да създават персонализирани правила, които включват период на изчакване/охлаждане (soak time/cool down period)“, заяви говорител на GitHub пред Help Net Security на въпрос как защитната стена определя коя версия е нова и дали дадена организация може да зададе собствен период на забавяне.
Сканиране и отстраняване на проблеми
Останалите три нови функционалности работят върху изходния код и сигналите за сигурност. AI Scan проверява всяка заявка за сливане (pull request) за уязвимости в програмни езици, които сканирането, базирано на правила, не покрива, включително PHP, Shell и COBOL. Инструментът може също така да сканира хранилище при поискване, което обхваща и вече слят код.
Разширението GitHub Security за приложението Copilot анализира промените на разработчика още преди създаването на pull request. В комбинация с GitHub Code Security, то извлича сигналите от сканирането на кода в хранилището директно в приложението, включително констатациите от AI Scan, така че разработчиците да могат да коригират уязвимостите, без да сменят работните си инструменти.
„За Autofix предоставяме както предложения за корекции в самия pull request, които разработчиците могат да прегледат и слеят веднага, така и възможност за групово отстраняване на проблеми чрез Agentic Autofix. Agentic Autofix може да коригира уязвимости и сигнали във всички инструменти на GitHub, включително AI Scanning, както и в над 70 партньорски инструмента“, обясни говорителят на GitHub.
По-малко сигнали за филтриране
Предупрежденията от Dependabot сигнализират за уязвими пакети, но пакет от дървото на зависимостите не винаги се използва директно от кода. Анализът на достижимост (reachability analysis) проверява дали кодът на екипа действително извиква уязвимата функция. Екипите могат да инспектират пътя на извикване директно в GitHub и да приоритизират сигналите на тази база.