Seguridad de aplicaciones donde detectado significa resuelto

GitHub Code Security ayuda a los desarrolladores a asegurar su código sin demorarlos. CodeQL y el análisis con IA encuentran vulnerabilidades, Copilot las corrige, y la revisión de dependencias y las campañas de seguridad se aseguran de que el riesgo no se acumule, todo dentro del flujo de trabajo de GitHub.

Copilot Autofix utiliza sugerencias de código impulsadas por IA para corregir automáticamente las vulnerabilidades de seguridad identificadas por CodeQL. Cuando se detecta una vulnerabilidad de seguridad, Copilot Autofix analiza el contexto del código, entiende el problema de seguridad subyacente y genera una solución precisa y contextualmente apropiada. Esta característica une la detección de vulnerabilidades con su remediación, lo que permite a los desarrolladores revisar y aplicar las correcciones sugeridas por la IA directamente en su flujo de trabajo.

Las campañas de seguridad ofrecen una estructura para planificar, rastrear e implementar correcciones de seguridad en múltiples repositorios y equipos, lo que te permite reducir sistemáticamente la deuda de seguridad. Gracias a las campañas de seguridad, los equipos de seguridad pueden agrupar vulnerabilidades relacionadas, priorizar los esfuerzos de remediación, asignar la responsabilidad y monitorear el progreso a través de un panel unificado. Las campañas de seguridad se pueden organizar por tipo de vulnerabilidad, iniciativa de seguridad, requisito de cumplimiento o cualquier otra agrupación lógica para coordinar mejoras de seguridad a escala.

La revisión de dependencias detecta pull requests en busca de dependencias vulnerables antes de que se introduzcan en tu código base. Este proceso evalúa el impacto en la seguridad de las modificaciones en las dependencias, y lo hace identificando los paquetes vulnerables y sus respectivos niveles de gravedad con el fin de prevenir merges de problemas de seguridad. La herramienta muestra cambios detallados en las dependencias al comparar las branches base y principal, destacando las dependencias agregadas, eliminadas y actualizadas junto con sus vulnerabilidades más conocidas.

Las alertas de Dependabot ahora cuentan con el Exploit Prediction Scoring System (EPSS) del Foro mundial de equipos de seguridad y respuesta a incidentes (FIRST, por sus siglas en inglés), útil para evaluar mejor los riesgos de vulnerabilidad. EPSS ayuda a las organizaciones a priorizar la remediación de vulnerabilidades al predecir la probabilidad de que una vulnerabilidad sea explotada en los próximos 30 días. Ofrece una puntuación que va de 0 a 1 (0-100 %), junto con un percentil que indica cómo se compara la vulnerabilidad con otras.

La Evaluación de Riesgos de Code Security es una evaluación gratuita que analiza repositorios para identificar posibles vulnerabilidades a nivel de código y destacar las áreas donde GitHub Code Security puede ayudar a mejorar la postura de seguridad. Obtén más información sobre las evaluaciones de riesgos de seguridad de GitHub.

El análisis con IA usa la inteligencia artificial para encontrar vulnerabilidades, incluido en los lenguajes que nos son compatibles con CodeQL. Revisa todas las pull request (disponibles de forma general) y escanea repositorios completos bajo demanda (revisión pública). Los hallazgos en el repositorio se convierten en alertas de code scanning que puedes seguir, asignar y corregir como cualquier otra. El análisis con IA está desactivado de manera predeterminada: cuando un administrador lo activa desde la configuración de code scanning, cualquier desarrollador con acceso para cambios de code scanning puede iniciar un análisis del repositorio.

Sí. Code scanning para aplicaciones de IA (versión preliminar pública) revisa las pull requests para identificar riesgos específicos de las aplicaciones y agentes de IA, como la inyección indirecta de prompts, divulgación de información confidencial y la autonomía excesiva. Señala rutas de código donde contenido no confiable puede alcanzar un modelo con acceso a herramientas o datos, y explica cómo corregirlos. Actívalo en la configuración de code scanning.