GitHub Advanced Security 引入 AI：自動修漏洞、抓洩露密碼

寫程式碼最讓人頭疼的時刻，往往不是改業務邏輯，而是安全工具報了一堆漏洞警報，你卻要花半天時間去查怎麼修。更尷尬的是，很多開發者隨手寫在程式碼裡的明文密碼，傳統的規則掃描根本抓不住。

GitHub 最近給旗下的 GitHub Advanced Security 拿出了三套基於大模型的預覽功能，目標很明確：不僅要替你發現漏洞，還要把補丁寫好，順便把那些藏在角落裡的弱密碼給揪出來。

漏洞不用自己改，AI 直接在 PR 裡提程式碼

這次更新最搶眼的是程式碼掃描自動修復。以前 CodeQL 引擎發現問題後，只會在拉取請求裡掛一個警告，改程式碼還得程式設計師自己動手。

現在只要你的專案用的是 JavaScript 或 TypeScript，CodeQL 掃出警報後，系統會自動呼叫大語言模型生成具體的修復方案。這些方案會直接出現在拉取請求的討論區和檔案改動頁裡，看起來就像同事給你提的程式碼建議。

你如果覺得改得靠譜，點一下就能直接提交合入，不滿意也能自己微調。這種在提交環節就把洞補上的做法，就是業界常說的左移安全，但過去很少有工具能做得這麼順手。

另一項更新針對的是憑證洩漏。像 API 金鑰這類有固定字首的東西很好查，但密碼千奇百怪，傳統正規表示式很難匹配，誤報率極高。GitHub 這次用大模型來識別那些非結構化的密碼文本。

為了不給安全團隊添亂，這些 AI 識別出來的疑似密碼不會混在常規警報裡，而是單列在一個名叫 Other 的低置信度標籤頁下，安全人員確認屬實後再去聯絡開發者處理。

讓不懂正則的人也能配安全規則

雖然 GitHub 已經給 180 多個合作伙伴內建了 225 種憑證匹配模式，但很多企業都有自己內部專屬的金鑰格式。以前管理員想加一條自定義規則，必須先硬著頭皮寫複雜的正規表示式。

這次 GitHub 做了個表單式的正則生成器。管理員只要回答幾個關於金鑰結構的問題，AI 就會自動把對應的正規表示式寫出來，而且支援在儲存前進行即時測試演練，確認沒問題再上線。

除了這三個面向開發者的功能，管理後臺的安全概覽看板也重構了。安全主管現在可以通過風險現狀、修復效率和攔截預防三個維度，直觀看到全公司的安全水位，包括漏洞的平均修復時長，以及程式碼推送保護到底擋住了多少次違規操作。

為什麼重要

把 AI 放進程式碼安全流程並不新鮮，但 GitHub 這一步走得相當務實。我們認為，安全工具長期以來的最大阻力不是查不出問題，而是警報疲勞。安全團隊提了成百上千個工單，一線開發者根本沒時間挨個排查修復。把自動修補直接塞進日常的程式碼審查介面，幾乎把修復成本壓到了最低，對 JavaScript 和 TypeScript 團隊來說非常值得儘早申請體驗。

對於行業來說，GitHub 實際上在壓縮獨立應用安全測試廠商的生存空間。當代碼託管平臺自己把靜態分析、憑證掃描、自動打補丁和管理看板全部串起來，第三方工具如果拿不出更深度的業務邏輯分析能力，很難說服客戶繼續買單。

不過這裡也有潛在的隱患。大模型給出的安全補丁雖然方便，但模型本身也可能引入微妙的邏輯漏洞或效能劣化。如果開發者對 AI 產生路徑依賴，盲目點選合併，反而可能讓程式碼庫埋下更隱蔽的雷。讓 AI 幫寫修復方案沒問題，但最後的審查開關，依然必須牢牢握在經驗豐富的工程師手裡。