GitHub Advanced Security 引入 AI：自动修漏洞、抓泄露密码

写代码最让人头疼的时刻，往往不是改业务逻辑，而是安全工具报了一堆漏洞警报，你却要花半天时间去查怎么修。更尴尬的是，很多开发者随手写在代码里的明文密码，传统的规则扫描根本抓不住。

GitHub 最近给旗下的 GitHub Advanced Security 拿出了三套基于大模型的预览功能，目标很明确：不仅要替你发现漏洞，还要把补丁写好，顺便把那些藏在角落里的弱密码给揪出来。

漏洞不用自己改，AI 直接在 PR 里提代码

这次更新最抢眼的是代码扫描自动修复。以前 CodeQL 引擎发现问题后，只会在拉取请求里挂一个警告，改代码还得程序员自己动手。

现在只要你的项目用的是 JavaScript 或 TypeScript，CodeQL 扫出警报后，系统会自动调用大语言模型生成具体的修复方案。这些方案会直接出现在拉取请求的讨论区和文件改动页里，看起来就像同事给你提的代码建议。

你如果觉得改得靠谱，点一下就能直接提交合入，不满意也能自己微调。这种在提交环节就把洞补上的做法，就是业界常说的左移安全，但过去很少有工具能做得这么顺手。

另一项更新针对的是凭证泄漏。像 API 密钥这类有固定前缀的东西很好查，但密码千奇百怪，传统正则表达式很难匹配，误报率极高。GitHub 这次用大模型来识别那些非结构化的密码文本。

为了不给安全团队添乱，这些 AI 识别出来的疑似密码不会混在常规警报里，而是单列在一个名叫 Other 的低置信度标签页下，安全人员确认属实后再去联系开发者处理。

让不懂正则的人也能配安全规则

虽然 GitHub 已经给 180 多个合作伙伴内置了 225 种凭证匹配模式，但很多企业都有自己内部专属的密钥格式。以前管理员想加一条自定义规则，必须先硬着头皮写复杂的正则表达式。

这次 GitHub 做了个表单式的正则生成器。管理员只要回答几个关于密钥结构的问题，AI 就会自动把对应的正则表达式写出来，而且支持在保存前进行实时测试演练，确认没问题再上线。

除了这三个面向开发者的功能，管理后台的安全概览看板也重构了。安全主管现在可以通过风险现状、修复效率和拦截预防三个维度，直观看到全公司的安全水位，包括漏洞的平均修复时长，以及代码推送保护到底挡住了多少次违规操作。

为什么重要

把 AI 放进代码安全流程并不新鲜，但 GitHub 这一步走得相当务实。我们认为，安全工具长期以来的最大阻力不是查不出问题，而是警报疲劳。安全团队提了成百上千个工单，一线开发者根本没时间挨个排查修复。把自动修补直接塞进日常的代码审查界面，几乎把修复成本压到了最低，对 JavaScript 和 TypeScript 团队来说非常值得尽早申请体验。

对于行业来说，GitHub 实际上在压缩独立应用安全测试厂商的生存空间。当代码托管平台自己把静态分析、凭证扫描、自动打补丁和管理看板全部串起来，第三方工具如果拿不出更深度的业务逻辑分析能力，很难说服客户继续买单。

不过这里也有潜在的隐患。大模型给出的安全补丁虽然方便，但模型本身也可能引入微妙的逻辑漏洞或性能劣化。如果开发者对 AI 产生路径依赖，盲目点击合并，反而可能让代码库埋下更隐蔽的雷。让 AI 帮写修复方案没问题，但最后的审查开关，依然必须牢牢握在经验丰富的工程师手里。