A CodeRabbit szerint az AI új szerepet kap a kód biztonsági vizsgálatában

Az AI felgyorsítja a támadók munkáját

Egy alkalmazásspecifikus sebezhetőség akkor is rejtve maradhat, ha a tesztek rendre sikeresek, a függőségeket javítják, és minden pull request során biztonsági ellenőrzést futtatnak. A CodeRabbit szerint az ilyen hibák sokszor csak akkor válnak láthatóvá, amikor valaki a teljes munkafolyamatot követi végig, és megvizsgálja, milyen feltételezésekre épül a kód.

A vállalat úgy látja, hogy ezt a munkát egy támadó is elvégezheti mesterséges intelligenciával, ráadásul gyorsabban, mint egy ellenőrzőcsapat. A CodeRabbit a 2025 novemberében közzétett Anthropic-jelentést is idézi, amely szerint egy AI által irányított kémkedési kampányban a mesterséges intelligencia a taktikai munka 80 és 90 százalékát végezte el. A támadók nagyjából 30 szervezetet céloztak, és ezek közül néhányba be is jutottak.

A CodeRabbit szerint ugyanaz a technológia, amely a támadónak segít megtalálni egy hibát, a fejlesztőcsapat számára is előbb azonosíthatja azt. Ez a vállalat értelmezésében azt jelenti, hogy a régi kód biztonságáért a biztonsági csapat mellett a mérnöki csapatnak is felelősséget kell vállalnia.

A Deep Scan az alkalmazáslogikát vizsgálja

A meglévő biztonsági eszközök továbbra is fontos szerepet töltenek be. A statikus elemzés adatokat követhet végig a függvényeken, a függőségvizsgálók ismert sérülékeny csomagokat keresnek, a titokkeresők pedig a véletlenül közzétett hitelesítő adatokat azonosítják.

A CodeRabbit Secure részeként bemutatott Deep Scan ehhez egy külön gondolkodási réteget ad. A cég szerint olyan alkalmazásspecifikus hibákat keres, amelyek nem illeszkednek ismert szabályokra, nem egy sérülékeny csomaghoz vagy kiszivárgott titokhoz kapcsolódnak, és több komponensen átívelő munkafolyamatban jelennek meg.

A rendszer először feltérképezi a biztonság szempontjából fontos részeket, köztük a belépési pontokat, a bizalmi határokat, a hozzáférés-ellenőrzéseket, az érzékeny műveleteket és a biztonsági konfigurációt. Ezután hipotézist állít fel arról, hogy mit kellene kikényszerítenie az alkalmazásnak, majd megkeresi az ezt alátámasztó vagy cáfoló bizonyítékokat. A CodeRabbit szerint a függvénynevek, a megjegyzések és az architektúra leírásai önmagukban nem bizonyítják, hogy egy védelem ténylegesen lefut.

A teljes folyamatot követi végig

A CodeRabbit egy visszatérítési munkafolyamattal szemlélteti a megközelítést. A bemutatott kezelő ellenőrzi, hogy a visszatérítés összege nem haladja meg az adott fizetés rögzített összegét, majd feladatot küld egy feldolgozó munkásnak. Külön-külön két, 60 dolláros visszatérítési kérés is megfelelhet ennek az ellenőrzésnek egy 100 dolláros fizetés esetében, együtt azonban meghaladhatják a fizetett összeget.

A puszta összehasonlítás felismerése egyszerű, a tényleges sebezhetőség bizonyítása viszont több lépést igényel. Meg kell vizsgálni, hogy a feldolgozó elolvassa-e a korábbi visszatérítések történetét, lefoglalja-e az összeget a külső szolgáltató megkeresése előtt, illetve a szolgáltató maga korlátozza-e az összesített visszatérítést. Egy ilyen védelem érvénytelenítheti a feltételezést, ezért a bejelentésnek a belépési ponttól a feladaton és a feldolgozón át a pénzt mozgató műveletig kell követnie az utat.

A Deep Scan a CodeRabbit leírása szerint külön ellenőrzővel vizsgálja a találatok elérhetőségét, a meglévő védelmeket és a kihasználáshoz szükséges feltételeket. A közzétett találatok elérhetőségi és kihasználhatósági osztályzatot kapnak, így a lista a vállalat szerint azt rangsorolja, mihez férhet hozzá ténylegesen egy támadó.

A fejlesztő dönt a bizonyítékok alapján

A Deep Scan a CodeRabbit szerint a pull requestben módosított sorok helyett a commitált kódbázist vizsgálja. Linked repositoryk olvasási jogú kontextust biztosíthatnak a vizsgált tárhelyhez, a hivatkozott forrásoknál pedig megjelenhet a repository, a fájl, a commit és a forráslink.

A vállalat hangsúlyozza, hogy a független ellenőrzésnek is vannak korlátai. A második modell továbbra is modell, ezért megismételheti az első hibás feltételezését. Emiatt a bizonyítékokat a fejlesztő előtt láthatóvá kell tenni, aki a telepítési környezet, az üzleti szabályok és a külső szolgáltatások működésének ismeretével felülvizsgálhatja a következtetést.

A CodeRabbit megközelítésének lényege, hogy a Deep Scan ne pusztán egy kódrészletet jelöljön meg, hanem bemutassa az érintett útvonalat, a hiányzó védelmet és a kihasználás feltételeit. Így a fejlesztő a változtatás előtt ellenőrizheti, hogy a jelentés valóban alkalmazható-e az adott rendszerre.