Примечание.
Проверка ИИ для репозиториев находится и Публичный предварительный просмотр подлежит изменению.
Для поиска уязвимостей безопасности в ветви репозитория по умолчанию используется собственная ремня, использующая несколько моделей, при наличии. Он поддерживает все языки, расширяя охват за рамки CodeQLподдерживаемых языков и обнаруживая дополнительные уязвимости в языках CodeQL , уже анализируемых. Выполняется сканирование по запросу независимо от CodeQL.
Сканирование ИИ для репозиториев добавляет результаты в code scanning невыполненную работу вместе с CodeQL оповещениями. Вы можете использовать существующие рабочие процессы для назначения оповещений, применения agentic autofix, включения оповещений в кампании безопасности и связывания их с проблемами.
Availability
Доступность зависит от того, кто владеет репозиторием и его видимостью.
| Владелец репозитория | Видимость | Доступность и требование |
|---|---|---|
| Organization | Public | Доступно без лицензии active-committer |
| Organization | Частный или внутренний | Доступно с GitHub Code Security помощью или GitHub Advanced Security |
| Личная учетная запись | Public | Available |
| Личная учетная запись | Частная | Недоступно |
Вам не нужна GitHub Copilot лицензия.
Billing
Вы запускаете проверку ИИ для репозиториев по требованию и используете Code SecurityAI credits каждую проверку. Это использование отличается от лицензирования активных фиксаций.
Счета за использование выставляются учетной записи, ответственной за выставление счетов организации.
Для общедоступных репозиториев, принадлежащих личной учетной записи, использование взимается с этой личной учетной записи, если владелец репозитория не имеет GitHub Copilot лицензии, предоставленной организацией или предприятием. В этом случае плата за использование выставляется организации или организации, предоставляющей лицензию.
Если учетная запись выставления счетов получает AI credits с помощью GitHub Copilot права, сканирование ИИ сначала использует эти кредиты. После исчерпания включенных кредитов или если учетная запись не включает кредиты, использование измеряется и регулируется применимыми бюджетами. Если жесткий бюджет недоступен Code SecurityAI credits , сканирование ИИ не может создавать выводы. Сканирование возобновляется, когда администратор увеличивает предельный бюджет или начинается новый цикл выставления счетов.
Сканирование ИИ для репозиториев имеет некоторые ограничения, чтобы предотвратить его использование очень высоких объемов бюджета. Действия по обнаружению ограничены 30 минутами и 150 000 AI credits.
Дополнительные сведения см. в разделе GitHub Advanced Security Выставление счетов за лицензии.
Как работает сканирование ИИ
Пользователи с доступом на запись в репозиторий вручную активируют проверку ветви репозитория по умолчанию. Агент ИИ выполняет поиск в репозитории, чтобы определить файлы и функции для проверки. Он выбирает код для дальнейшего анализа, а не считывает каждый файл в полном объеме. Агент выполняется в течение периода времени. Когда этот бюджет исчерпан, он перестает искать и сообщает о своих результатах.
Сканирование ИИ выполняется независимо от CodeQL. Если в репозитории уже есть CodeQL оповещения, ai Scan использует эти оповещения для подавления соответствующих результатов.
Как результаты сканирования ИИ отображаются в невыполненной проверке кода
После завершения сканирования его результаты отображаются в виде оповещений в списке оповещений репозитория code scanning на вкладке "Безопасность и качество" наряду с оповещениями.CodeQL Список можно отфильтровать с помощью средства сканирования ИИ , чтобы сосредоточиться на этих результатах.
Используйте существующие фильтры серьезности оповещений для определения приоритетов результатов оценки. Вы можете назначить оповещения, связать их с проблемами, включить их в кампании безопасности или использовать agentic autofix для их устранения. См . раздел AUTOTITLE.
Во время Публичный предварительный просмотробъединения потенциального исправления не активируется еще одна проверка ИИ. Необходимо вручную активировать новую проверку, чтобы проверить наличие разрешенных оповещений.
Оповещение будет закрываться автоматически, если примененное исправление изменяет точную строку кода, активировав оповещение. В противном случае необходимо вручную закрыть оповещение.
Limitations
- Проверяет только ветвь по умолчанию.
- Проверки активируются вручную. Запланированные проверки и автоматические проверки при отправке не поддерживаются.
- Агент выбирает код для проверки в течение периода времени. Проверка не полностью анализирует каждый файл или гарантирует, что она находит каждую уязвимость.
- Сопоставление с существующими CodeQL оповещениями лучше всего подходит, поэтому могут возникать повторяющиеся оповещения.
- Результаты, созданные искусственным интеллектом, могут быть неточными. Просмотрите все нахождения перед решением о том, как устранить его.
Рекомендации по использованию функций безопасности, на основе ИИ, см. в статье Карта приложения: функции безопасности GitHub и качества ИИ.
Поддерживаемые языки
Проверка ИИ для репозиториев поддерживает все языки, включая языки, которые уже поддерживаются CodeQL. Используйте его вместе с CodeQL целью поиска дополнительных уязвимостей или расширения охвата сканирования на языки, которые CodeQL не поддерживаются.
Включение проверки ИИ для репозиториев
Прежде чем включить проверку ИИ для репозиториев, подтвердите соответствие репозитория, просмотрите включенные AI creditsучетные записи выставления счетов и настройте бюджеты для использования с учетом лимитного использования.
- Корпоративный: владельцы предприятия могут разрешить или запретить организациям включить проверку ИИ для репозиториев. Эта политика управляет запросами на вытягивание и сканированиеМ ИИ для невыполненной работы репозитория. Политика имеет значение "Не разрешено" по умолчанию. Разрешение сканирования ИИ не включает его автоматически. См . раздел AUTOTITLE.
- Организация: владельцы организации и руководители по безопасности могут включить проверку ИИ для репозиториев для соответствующих репозиториев. Репозитории наследуют параметр организации. См . раздел AUTOTITLE.
- Репозиторий, принадлежащий организации: пользователи с доступом администратора к репозиторию могут отказаться, если организация включила проверку ИИ. Они не могут принять участие в том случае, если параметр организации отключен. Чтобы отключить эту функцию, перейдите на страницу "Параметры" репозитория в разделе "Advanced Security", а затем в разделе "Code Security", переключите проверку ИИ для репозиториев.
Дальнейшие действия
Чтобы запустить сканирование и управлять полученными оповещениями, см. раздел Просмотр оповещений сканирования ИИ и управление ими в ветви репозитория по умолчанию.