Decir que se va a “desplazar a la izquierda” es fácil; tiene sentido. Después de todo, es obvio que la prevención de problemas debe desplazarse lo más a la izquierda posible, hasta el IDE. Resolver los problemas en esa etapa le da la mejor oportunidad de ser más seguro. Pero antes de resolver un problema, debe encontrarlo.
Aikido cuenta con una integración de IDE para informar hallazgos SAST de inmediato. Cuando introduce código vulnerable en el IDE, el plugin de Aikido puede detectarlo por usted, como se muestra a continuación.
.png)
Pero existe una diferencia importante entre los hallazgos de SAST y los hallazgos de AutoTriage. Además de poder ofrecer una pila de ciberseguridad completa (a diferencia de una única solución en la pila), uno de los principales puntos de venta únicos de Aikido es la reducción de ruido. Cuando Aikido informa algo, hay una probabilidad bastante alta de que sea realmente explotable.
La forma en que Aikido gestiona la reducción de ruido para los hallazgos SAST es ignorar automáticamente los hallazgos en ciertos archivos de prueba y ajustar cuidadosamente los patrones codificados para la detección para evitar demasiados falsos positivos, básicamente, un conjunto completo de herramientas que se utiliza internamente para reducir esos falsos positivos que tanto odian los desarrolladores. Esto reduce significativamente la tasa de falsos positivos. Pero una bazuca adicional en la caja de herramientas es AutoTriage: la capacidad de enviar el código a un LLM para comprender mejor el contexto de ese código, de modo que se puedan filtrar más falsos positivos.
Funciona de la siguiente manera: cuando la herramienta SAST informa un hallazgo, puede pasar el cursor sobre el código subrayado. A continuación, puede hacer clic en “Evaluar impacto con Aikido AI”. Esto llamará a AutoTriage en segundo plano.
.png)
Unos segundos después, recibirá un mensaje como el que se muestra a continuación. En este caso, es una confirmación de que el hallazgo de SAST es un verdadero positivo y debe corregirlo antes de crear un pull request.
.png)
Esta funcionalidad debería ayudar a los desarrolladores a comprender las posibles vulnerabilidades incluso antes. Al trasladar esa responsabilidad a una fase más temprana del proceso de desarrollo, se resuelve una gran cantidad de sobrecarga más adelante.
