The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

GitHub внедрил систему машинного обучения для поиска уязвимостей в коде

18.02.2022 10:10

GitHub объявил о добавлении в сервис Code scanning экспериментальной системы машинного обучения для выявления распространённых типов уязвимостей в коде. На этапе тестирования новая функциональность пока доступна только для репозиториев с кодом на языках JavaScript и TypeScript. Отмечается, что применение системы машинного обучения позволило заметно расширить спектр выявляемых проблем, при анализе которых система теперь не ограничивается проверкой типовых шаблонов и не привязывается к известным фреймворкам. Из выявляемых новой системой проблем упоминаются ошибки, приводящие к межсайтовому скриптингу (XSS), искажению файловых путей (например, через указание "/.."), подстановке SQL- и NoSQL-запросов.

Сервис Code scanning позволяет выявлять уязвимости на ранней стадии разработки через сканирование каждой операции "git push" на предмет потенциальных проблем. Результат прикрепляется непосредственно к pull-запросу. Ранее проверка осуществлялась с использованием движка CodeQL, анализирующего шаблоны с типовыми примерами уязвимого кода (CodeQL позволяет сформировать шаблон уязвимого кода для выявления наличия подобной уязвимости в коде других проектов). Новый движок, использующий машинное обучение, может определять ранее не известные уязвимости так как он не привязан к перебору шаблонов кода, описывающих конкретные уязвимости. Ценой подобной возможности является увеличение числа ложных срабатываний по сравнению с проверками на основе CodeQL.

  1. Главная ссылка к новости (https://github.blog/2022-02-17...)
  2. OpenNews: GitHub намерен сканировать репозитории на предмет запрещённого содержимого
  3. OpenNews: GitHub запустил совместный проект для выявления уязвимостей в открытом ПО
  4. OpenNews: Intel открыл код системы машинного обучения ControlFlag для выявления ошибок в коде
  5. OpenNews: GitHub ввёл в строй сервис для выявления уязвимостей в коде
  6. OpenNews: GitHub добавил поддержку отслеживания уязвимостей в проектах на языке Rust
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/56719-github
Ключевые слова: github, ai, security
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (62) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, InuYasha (??), 10:31, 18/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +15 +/
    ГХ внедрил уже и свёртывание комментариев (чтоб, не дай баг, ctrl+f не нажали), и трюки чтобы в старых браузерах переставали работать "фичи" (ну, серёзно, КАК нужно было ХОТЕТЬ сломать людям жизнь что даже простые меню и кнопки перестают работать??)
    Удивляет, что народ всё ещё тащит в эту помойку свои кровные исходники. Даже "опенсорсники" несут свои наработки корпорации зла на блюдечке. Фу, тошнотворно.
     
     
  • 2.2, Аноним (2), 10:32, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    А если опенсорс, какая разница где?
     
     
  • 3.7, InuYasha (??), 10:59, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > А если опенсорс, какая разница где?

    Если опенсорс, то нет шансов без штанов остаться? Мне ГХ ещё давно сказал "пока не пришлёте пин-код, не войдёте". Для себя рассматриваю, например, https://sr.ht/

     
     
  • 4.13, ryoken (ok), 12:22, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А что там батька РМС советует..? Savannah.gnu.org кажется?
     
  • 4.29, Аноним (29), 16:29, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Если опенсорс, то нет шансов без штанов остаться?

    Код открыт, открыть репу в другом месте можно всегда

     
     
  • 5.31, InuYasha (??), 16:52, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Это только если ты - автор.

    Кроме того, в гитхабе твой проект - автоматический участник экспериментов, иследований, акций и т.п.

     
     
  • 6.37, Аноним (29), 17:41, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так ну и если ты код открыл в другом месте, его тоже может кто угодно на исследование/акцию забрать
     
     
  • 7.47, Аноним (47), 12:02, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > на исследование/акцию забрать

    В том числе для линчевания без суда и следствия, для карательной акции по DMCA?

     
     
  • 8.48, Аноним (48), 14:48, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ну так не нарушай DCMA... текст свёрнут, показать
     
     
  • 9.51, Аноним (51), 17:13, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Насколько я помню, суд впоследствии решил, что ничего нарушено не было ... текст свёрнут, показать
     
  • 9.52, Аноним (47), 19:02, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Как не нарушать то, что меняется во время игры по желанию заинтересованного игро... текст свёрнут, показать
     
     
  • 10.56, Аноним (29), 23:33, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Не переходи дорогу игрокам... текст свёрнут, показать
     
  • 3.11, Аноним (11), 11:50, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Разница, где к разработчику относятся уважительно.
     
     
  • 4.32, InuYasha (??), 16:55, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Разница, где к разработчику относятся уважительно.

    Вот, на Хате пишут хорошо:
    We are here to make free software better. We will be honest, transparent, and empathetic. We care for our users, and we will not exploit them, and we hope that they will reward our care and diligence with success. - https://sourcehut.org/

     
     
  • 5.41, Аноним (41), 18:36, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    На гитхабе так же пишут
     
  • 2.3, Аноним (3), 10:36, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Скоро будет отечественный аналог github, вот там со старого браузера разгуляемся
     
     
  • 3.4, kusb (?), 10:42, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    <ОПРЕДЕЛЯЕТСЯ ЯГРТ 0.1>
     
  • 3.6, Какойточел (?), 10:49, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    зачем такое ждать вообще?
    разворачиваешь свой gogs или gitea и все.
    Или просто создаешь не комерческую организацию закупаешь сервера, и делаешь тоже самое но для всех
    Вот тебе и аналог гит хаба, и без ташнотворности в виде "ОТЕЧЕСТВЕННОЕ"  
    в русском языке ОТЕЧЕСТВЕННОЕ - синоним низкого качества и отмывки денег.
     
     
  • 4.20, anonymous (??), 14:52, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > в русском языке ОТЕЧЕСТВЕННОЕ - синоним низкого качества и отмывки денег.

    Отечественное оружие.
    Отечественные программисты.
    Отечественные ядерные технологии.

    Может, тебе русский язык получше узнать?

     
     
  • 5.26, mkhno (?), 15:50, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    эталонное РЛО
     
     
  • 6.27, vladimir (??), 15:55, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    эталонное ЧСВ
     
  • 5.53, john_erohin (?), 21:20, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Отечественное оружие.

    Хьюго Шмайссер очень хотел на свободу с чистой совестью.

    > Отечественные программисты.

    ну разве что.

    > Отечественные ядерные технологии.

    тех.документацию для которых разведка затаскивала вагонами,
    а Курчатов морщил лоб и делал вид что все придумал сам.

     
     
  • 6.54, пох. (?), 23:25, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > а Курчатов морщил лоб и делал вид что все придумал сам.

    Не делал вовсе - письма он писал "любой ценой срочно узнайте назначение детали #45634652"

    (то есть надо понимать, что любой ценой означало что шпионом можно и пожертвовать, подумаешь, присядет на электрическую табуреточку - нехай новых полезных идиотов завербуют)

    Письма эти успели опубликовать в академическом журнале незадолго до превращения страны обратно в концлагерь. Там совершенно очевидно что он абсолютно не понимал что и как собирает, и вся технология до мельчайших деталей - краденая.

    Что в общем-то и логично, из двух братов-акробатов один был гебист, второй физик. А ядерный заряд это не ядерная физика и не искусство допроса третьей степени, а на 99% взрывотехника.

     
     
  • 7.58, john_erohin (?), 11:03, 20/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Не делал вовсе

    пред подчиненными - делал. а что еще оставалось ?

    > - письма он писал "любой ценой срочно узнайте назначение
    > детали #45634652"

    право читать эту переписку имели отнюдь не все участники проекта.
    со стороны "секретных физиков", кроме Курчатова пожалуй что и никто не имел.

     
     
  • 8.59, пох. (?), 13:15, 20/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ну ты же понимаешь что крайне трудно скрыть от участников проекта тем более ч... текст свёрнут, показать
     
  • 3.12, Аноним (11), 11:52, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вы что? Только с отечественных можно будет: Яндекс Браузер, Мылору Браузер и т.д.
     
     
  • 4.19, kusb (?), 14:30, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    proxy.internet-gateway.otr.gov.local
     
     
  • 5.57, john_erohin (?), 10:57, 20/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > proxy.internet-gateway.otr.gov.local

    непатриотично ! для кого IDN придумали ? (а вот для таких и придумали.
    надо было в свое время придумщиков гнать ссаными тряпками).

    хостнэйм должен быть примерно такой: "посредник.межсеть-шлюз.кгб.рф"

    а у кого софт не поддерживает, трахайтесь как хотитe c матерными "...xn--7..."

     
     
  • 6.60, kusb (?), 19:03, 20/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    xn-- - порождение Пиндосии. Нужно в другой кодировке запросы слать... Свой собственный DNS.
     
  • 2.5, Какойточел (?), 10:46, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Согласен, перенесли все проекты свои на собственный хостин на базе gitea
    github теперь в виде зеркала и все
     
  • 2.10, Аноним (10), 11:46, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вечная проблема браузеров - постоянные обновы. Порят всю картину мира. Зачем мне постоянные обновы?
     
  • 2.15, Rev (?), 12:25, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Удивляет, что народ всё ещё тащит в эту помойку свои кровные исходники.

    Потому, что у каждого нормального разраба есть там аккаунт, и намного проще там принимать пулл-реквесты.
    Лучший вариант это вести разработку на Гитхабе, но зеркалировать свои репы себе в Gitea. Просто на всякий случай.

     
  • 2.17, Урри (ok), 13:41, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Неужели git clone/commit/push сломали? Нет.
    Так чего вы ноете? Командной строкой пользоваться разучились?
     
     
  • 3.33, InuYasha (??), 16:58, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    https://www.opennet.me/openforum/vsluhforumID3/126812.html#28

    подскажи, как каменты к ишакам тянуть/толкать через CLI?

     
     
  • 4.35, Урри (ok), 17:11, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    issues - ишаки??!
    Мне кажется, вам комменты не нужны. Вам вообще гитхаб не нужен.
     
     
  • 5.36, InuYasha (??), 17:39, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ну, успехов в англопроизношении )
    И - да - мне не нужен, нужен сотрудникам.
     
     
  • 6.38, Урри (ok), 17:59, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    "ишшю", "ишшюс", "ишшюсы".

    > нужен сотрудникам.

    gh issue view {<number> | <url>} --comments
    https://cli.github.com/manual/gh_issue_view

     
     
  • 7.61, InuYasha (??), 10:37, 21/02/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    *facepalm*
    амбушюры
     
     
  • 8.62, Урри (ok), 18:28, 21/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    https www google com search q issue pronunciation Слух еще остался, надеюсь К... текст свёрнут, показать
     
     
  • 9.63, InuYasha (??), 15:24, 22/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Я не говорю что это правильно, я намекаю, что ты замучил Нравится язык в трубоч... текст свёрнут, показать
     
  • 2.21, Аноним (47), 14:53, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > ГХ внедрил уже

    100% загрузку проца (ядра) при отключенных скриптах

     
     
  • 3.22, Аноним (22), 15:22, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    .Skeleton { display: none !important; } в любые пользовательские стили. Больше не грузит, с включенными скриптами работает как надо.
     
     
  • 4.34, Аноним (47), 17:01, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > .Skeleton

    Оно! Спасибо! Анимация грузит!

     
  • 2.23, Аноним (23), 15:27, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >ГХ внедрил уже и свёртывание комментариев (чтоб, не дай баг, ctrl+f не нажали), и трюки чтобы в старых браузерах переставали работать "фичи" (ну, серёзно, КАК нужно было ХОТЕТЬ сломать людям жизнь что даже простые меню и кнопки перестают работать??)

    То ли дело GitLab, который в Lynx не открывается вообще. В отличие от "швaбодного" GitLab, на GitHub хотя-бы в Lynx хоть-как-то юзабелен.

     
  • 2.25, Сергей (??), 15:31, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    причем тут ctrl + f?   друг,  ты сам то понял что написал?
     
     
  • 3.28, InuYasha (??), 16:07, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Поясню. В комментариях к ишаку часто очень много полезной информации. Искать в браузере можно по комбинации CTRL+F. Обычно. Злой жыдхаб сделал так что из 100 комментариев ПОСРЕДИ СТРАНИЦЫ скрыты, например, 40-60ый. А ты ищешь и охреневаешь - куда подевалась инфа.
     
  • 2.44, Аноним (44), 00:19, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Только не забывай пожалуйста об замечательном и бесплатном GitHub Actions
     
     
  • 3.55, пох. (?), 23:32, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Там вроде майнеры научились автоматически находить и блокировать, не?

     

  • 1.8, Аноним (8), 11:00, 18/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Главное, чтобы не совмещали с нейросеткой, которая пишет код.
     
     
  • 2.14, Амогус (?), 12:25, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Всё нормально, они подружатся
     

  • 1.9, Аноним (47), 11:11, 18/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +10 +/
    Эксперименты по машинному цензурированию кода. Осталось добавить карательные функции.
     
     
  • 2.16, Аноньимъ (ok), 13:33, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    В корень зрите.
     
  • 2.18, Амогус (?), 14:15, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +4 +/
    let whitelist = ...

    ^^ potentially insulting variable name. rename or ban

     
     
  • 3.30, Аноним (22), 16:37, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ага, на большее эта "система машинного обучения" будет не способна.
     
  • 2.24, Аноним (23), 15:28, 18/02/2022 [^] [^^] [^^^] [ответить]  
  • +3 +/
    У вас в слове "экскременты" очепятка.
     

  • 1.39, Урри (ok), 18:00, 18/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Я попробовал.
    Ничего не нашло.

    Может потому что сишечка?

     
  • 1.40, Аноним (40), 18:31, 18/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Я так понимаю пока олды в строю, выжимают из профессионалов (кто способен работать на результат) максимум. Корпорациями не дураки руководят, люди понимают общемировую проблему. Опасаются за будущее.
    Сперва по течению, затем стагнация.
     
  • 1.43, Смузихлёб (?), 23:45, 18/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Гитхаб не нужен, когда есть rocketgit.
     
     
  • 2.45, Аноним (40), 00:35, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Notabug уже не а моде?
     
     
  • 3.46, Смузихлёб (?), 00:51, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Notabug уже не а моде?

    Там нельзя хостить закрытые проекты.

     
     
  • 4.50, Аноним (40), 17:13, 19/02/2022 [^] [^^] [^^^] [ответить]  
  • +/
    В коком смысле закрытые? Кем и от кого закрытые?
    Вы хотите сказать, щито нейросетка в топике парсит на житхабе бинари или обфусцированный код?
     

  • 1.49, Аноним (49), 16:15, 19/02/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    есть еще onedev активно развивается, правда хостить нужно самому.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру