AI で検出して修正するアプリケーションセキュリティ

GitHub Code Security は、開発のスピードを落とすことなく、コードのセキュリティを確保できるよう開発者を支援します。CodeQL と AI Scan で脆弱性を検出し、GitHub Copilot で修正できます。さらに、依存関係レビューやセキュリティ キャンペーンによってリスクの蓄積を防ぎ、GitHub の開発ワークフロー内で一貫してセキュリティを確保できます。

Copilot Autofix は、AI 駆動のコード提案を使用して CodeQL が特定したセキュリティの脆弱性を自動的に修正します。セキュリティの脆弱性が検出されると、Copilot Autofix がコードのコンテキストを分析し、根本的なセキュリティ問題を把握して、コンテキストに適切な修正を生成します。この機能は、脆弱性の検出と修復の間にあるギャップを埋めるために、開発者が AI から提案された修正をワークフロー内で直接レビューし、適用できるようにします。

セキュリティキャンペーンは、複数のリポジトリとチーム全体でセキュリティ修正を計画、追跡、実装するための構造化されたフレームワークを提供し、セキュリティ負債を体系的に解消できるようにします。セキュリティキャンペーンを活用することで、セキュリティチームは関連する脆弱性をグループ化し、オーナーをアサイン、修正の優先順位を付け、統合ダッシュボードを通じて進捗状況を監視できます。セキュリティキャンペーンは、脆弱性タイプ、セキュリティイニシアチブ、コンプライアンス要件、またはその他の論理グループ別に分類でき、セキュリティ改善を大規模に調整することができます。

依存関係レビューは、プルリクエストがコードベースに導入される前に脆弱な依存関係をスキャンします。依存関係の変更によるセキュリティ上の影響を評価して脆弱なパッケージとそれらのセキュリティ レベルを特定し、セキュリティ問題がマージされないようにします。ベースブランチとヘッドブランチを比較することで依存関係変更の詳細を表示するこのツールは、追加、削除、更新された依存関係と、それらの既知の脆弱性を明らかにします。

Dependabot アラートにグローバルな Forum of Incident Response and Security Teams (FIRST) の Exploit Prediction Scoring System (EPSS) が搭載され、脆弱性リスクをよりよく評価できるようになりました。EPSS は、今後 30 日間に脆弱性が悪用される可能性を予測することで、組織が脆弱性修復の優先順位を判断できるようにします。0 から 1 (0~ 100%) のスコアを提供するとともに、脆弱性を他の脆弱性と比較するパーセンタイルランクも提供します。

コード セキュリティ リスク評価は、リポジトリを分析して、コードレベルでの潜在的な脆弱性を検出し、GitHub Code Security でセキュリティ態勢を強化できる領域を明確にする、無料の診断サービスです。GitHub セキュリティ リスク評価について詳しく学びましょう。

AI Scan は、AI を活用して脆弱性を検出する機能です。CodeQL がサポートしていない言語の脆弱性も検出できます。すべてのプルリクエストをレビューする機能は一般提供中で、リポジトリ全体のスキャンを必要に応じて実行する機能はパブリックプレビュー中です。リポジトリで検出された問題は、コード スキャン アラートとして登録されます。他のアラートと同様に、追跡、割り当て、修正が可能です。AI Scan はデフォルトで無効になっています。管理者がコード スキャンの設定で有効にすると、コード スキャンの書き込みアクセス権限を持つユーザーがリポジトリのスキャンを開始できるようになります。

できます。AI アプリケーション向けコード スキャン (パブリック プレビュー) では、プルリクエストをレビューし、間接的なプロンプトインジェクション、極秘情報の漏えい、過剰な自律性など、AI アプリやエージェント特有のリスクを検出します。信頼できないコンテンツが、ツールやデータにアクセスできるモデルに到達するコードパスを検出し、その修正方法を説明します。コード スキャンの設定で有効にしてください。