Anwendungssicherheit – "gefunden heißt behoben"

GitHub Code Security hilft Entwickler:innen dabei, ihren Code zu sichern, ohne dabei an Geschwindigkeit einzubüßen. CodeQL und AI Scan finden Schwachstellen, GitHub Copilot behebt sie, und die Abhängigkeitsüberprüfung sowie Sicherheitskampagnen verhindern, dass sich Risiken anhäufen – und das alles direkt im GitHub-Workflow.

GitHub Copilot Autofix nutzt KI-gestützte Codevorschläge, um von CodeQL ermittelte Sicherheitsschwachstellen automatisch zu beheben. Bei Erkennung einer Sicherheitsschwachstelle analysiert GitHub Copilot Autofix den Codekontext, ermittelt das zugrunde liegende Sicherheitsproblem und generiert eine präzise, kontextgerechte Korrektur. Diese Funktion schließt die Lücke zwischen der Erkennung und Behebung von Schwachstellen. So können Entwickler:innen die von der KI vorgeschlagenen Korrekturen direkt in ihrem Workflow überprüfen und anwenden.

Sicherheitskampagnen bieten ein strukturiertes Framework für die Planung, Verfolgung und Implementierung von Sicherheitskorrekturen in mehreren Repositorys und für mehrere Teams. So lassen sich Sicherheitsdefizite systematisch abbauen. Im Rahmen von Sicherheitskampagnen können Sicherheitsteams zusammengehörige Schwachstellen gruppieren, Maßnahmen zur Behebung priorisieren, Zuständigkeiten zuweisen und den Fortschritt über ein einheitliches Dashboard überwachen. Sicherheitskampagnen lassen sich nach Schwachstellenarten, Sicherheitsinitiativen, Compliance-Anforderungen oder nach anderen logischen Gruppierungen ordnen, um Sicherheitsverbesserungen im großen Maßstab zu koordinieren.

Bei der Abhängigkeitsüberprüfung werden Pull Requests auf anfällige Abhängigkeiten hin untersucht, bevor diese in die Codebasis gelangen. Das Tool bewertet die Auswirkungen von Änderungen an Abhängigkeiten auf die Sicherheit und ermittelt anfällige Pakete und deren Schweregrad, damit keine Sicherheitsprobleme in den Code eingefügt werden. Es zeigt detaillierte Änderungen an Abhängigkeiten an, indem die Basis- und Kopf-Branches verglichen werden. Dabei werden hinzugefügte, entfernte und aktualisierte Abhängigkeiten sowie bekannte Schwachstellen hervorgehoben.

Warnungen von Dependabot verfügen ab sofort über das Exploit Prediction Scoring System (EPSS) des globalen Forum of Incident Response and Security Teams (FIRST). Dadurch lassen sich Risiken im Zusammenhang mit Schwachstellen besser einschätzen. Mit dem EPSS können Unternehmen die Behebung von Schwachstellen besser priorisieren, da das System die Wahrscheinlichkeit vorhersagt, mit der eine Schwachstelle in den kommenden 30 Tagen ausgenutzt wird. Es liefert eine Punktzahl zwischen 0 und 1 (0–100 %) sowie ein Perzentil-Ranking, sodass sich Schwachstellen miteinander vergleichen lassen.

Die Code‑Security‑Risikobewertung ist eine kostenlose Analyse, die Repositorys untersucht, um potenzielle Schwachstellen auf Code-Ebene zu identifizieren und Bereiche aufzuzeigen, in denen GitHub Code Security dazu beitragen kann, die Sicherheitslage zu verbessern. Weitere Informationen zu den GitHub Security-Sicherheitsrisikobewertungen.

AI Scan nutzt KI, um Schwachstellen zu finden – auch in Sprachen, die CodeQL nicht unterstützt. Es überprüft jeden Pull Request (allgemein verfügbar) und scannt auf Anfrage ganze Repositorys (öffentliche Vorschau). Die Ergebnisse aus dem Repository werden zu Code-Scanning-Warnmeldungen, die du wie alle anderen auch nachverfolgen, zuweisen und beheben kannst. AI Scan ist standardmäßig deaktiviert: Ein:e Administrator:in aktiviert es in den Einstellungen für das Code Scanning, und jeder, der über Schreibzugriff auf das Code Scanning verfügt, kann dann einen Repository-Scan starten.

Ja. Code-Scanning für KI-Apps (öffentliche Vorschau) überprüft Pull Requests auf Risiken, die speziell bei KI-Apps und Agenten auftreten: indirekte Promptinjektion, Offenlegung sensibler Informationen und übermäßige Handlungsautonomie. Dabei werden Codepfade gekennzeichnet, über die nicht vertrauenswürdige Inhalte ein Modell erreichen können, das Zugriff auf Tools oder Daten hat. Zusätzlich wird erklärt, wie diese Probleme behoben werden können. Aktiviere die Funktion in den Code-Scanning-Einstellungen.