Intégration d'AutoTriage dans l'IDE

Dire que l'on va « shift left » est facile ; cela a du sens. Après tout, il est évident que la prévention des problèmes devrait être décalée le plus à gauche possible, jusqu'à l'IDE. Résoudre les problèmes à ce stade vous donne la meilleure chance d'être plus sécurisé. Mais avant de résoudre un problème, il faut le trouver.

Aikido dispose d'une intégration IDE pour signaler immédiatement les résultats SAST. Lorsque vous saisissez du code vulnérable dans l'IDE, le plugin d'Aikido peut le détecter pour vous, comme illustré ci-dessous.

Mais il existe une différence importante entre les résultats SAST et les résultats AutoTriage. Outre la capacité à offrir une pile de cybersécurité complète (par opposition à une seule solution dans la pile), l'un des principaux arguments de vente uniques d'Aikido est la réduction du bruit. Lorsque Aikido signale quelque chose, il y a de fortes chances que ce soit réellement exploitable.

La façon dont Aikido gère la réduction du bruit pour les résultats SAST consiste à ignorer automatiquement les résultats dans certains fichiers de test et à ajuster méticuleusement les modèles codés en dur pour la détection afin d'éviter trop de faux positifs, soit un ensemble complet d'outils utilisés en interne pour réduire ces faux positifs que les développeurs détestent tant. Cela réduit considérablement le taux de faux positifs. Mais un atout supplémentaire dans la boîte à outils est AutoTriage – la capacité d'envoyer le code à un LLM pour mieux comprendre le contexte de ce code, afin que davantage de faux positifs puissent être filtrés.

Cela fonctionne comme suit : lorsqu'un outil SAST signale une vulnérabilité, vous pouvez survoler le code souligné. Ensuite, vous pouvez cliquer sur « Évaluer l'impact avec Aikido AI ». Cela appellera AutoTriage en arrière-plan.

Quelques secondes plus tard, vous recevrez un message similaire à celui présenté ci-dessous. Dans ce cas, il s'agit d'une confirmation que la détection SAST est un vrai positif et que vous devriez la corriger avant de créer une pull request.

Cette fonctionnalité devrait aider les développeurs à comprendre les vulnérabilités potentielles encore plus tôt. En déplaçant cette responsabilité plus en amont dans le processus de développement, une grande partie de la surcharge est résolue plus tard.

‍

‍