TL;DR: Bazel agiliza las compilaciones, pero ha generado un caos en la seguridad. Sin lockfiles, sin visibilidad y con mucho trabajo manual. Aikido ahora escanea proyectos Bazel automáticamente, señala las dependencias de riesgo y te evita tener que usar scripts personalizados y 'hacks' en CI.
El desafío de seguridad de Bazel
Bazel es excelente para grandes bases de código y compilaciones rápidas, pero no utiliza lockfiles ni manifiestos estándar, lo que dificulta enormemente el escaneo de seguridad. La mayoría de las herramientas no pueden ver qué bibliotecas estás utilizando.
Los equipos lo solucionaban con scripts o módulos experimentales de Bazel, solo para generar algo que pudiera ser escaneado. Pero esto es complicado, lento y facilita pasar por alto CVEs críticos.
Proteger las compilaciones de Bazel no debería ser tan difícil. Ahora ya no lo es.
Cómo Aikido automatiza la seguridad de Bazel
Con la nueva actualización de Aikido, hemos llevado nuestro enfoque 'sin rodeos' a los usuarios de Bazel. Esto es lo que cambia:
- Visibilidad de dependencias: Aikido ahora comprende las definiciones de dependencias de Bazel, ya sea que utilices reglas BUILD clásicas o módulos de Bazel. Identifica automáticamente las bibliotecas de terceros y las versiones que tu compilación de Bazel incorpora. ¿Sin lockfile? No hay problema. Aikido escanea tus archivos Bazel y extrae la información de dependencias, para que nada se pase por alto.
- Alertas de vulnerabilidades: Una vez que Aikido conoce tus dependencias, las compara con nuestra base de datos de vulnerabilidades (y con los feeds globales de CVEs). Recibirás alertas en tiempo real para cualquier CVE conocido. ¿Utilizando un Log4j vulnerable a través de Bazel? Aikido lo señala al instante, al igual que hacemos con otros ecosistemas.
- SAST y secretos integrados: Aikido no se detiene en las dependencias. También escaneamos tus proyectos basados en Bazel en busca de problemas de código, secretos y configuraciones erróneas. No se necesitan configuraciones o flujos de trabajo separados. Es la misma experiencia amigable para desarrolladores, simplemente funciona de inmediato.
De manual a sin esfuerzo: lo que significa para los desarrolladores
Cada desarrollador que utiliza Bazel ahora puede ser un desarrollador seguro sin esfuerzo adicional. Así es como esta característica te facilita la vida:
- Se acabó la búsqueda manual de CVEs: No necesitas seguir listas de correo o changelogs. Aikido monitoriza tus dependencias de Bazel y te alerta cuando algo falla. Verás los CVEs directamente en tu panel de control de Aikido, sin tener que investigar.
- Menos falsas alarmas: Los proyectos Bazel a menudo agrupan una gran cantidad de código generado y dependencias indirectas. El triaje de IA de Aikido elimina el ruido, señala lo que realmente importa e ignora el resto.
- CI/CD es opcional, no obligatorio: A diferencia de otras herramientas, no necesitas ejecutar compilaciones de Bazel en CI solo para obtener información de seguridad. Aikido escanea directamente desde tu código, sin configuración. ¿Quieres integración con CI de todos modos? Genial. Añade nuestra CLI a tu pipeline y también detectaremos los problemas de Bazel allí. Tú decides.
- Confianza para actualizar: Los proyectos de Bazel fijan las versiones de forma estricta. Eso es genial… hasta que necesitas actualizar. Aikido te muestra exactamente qué dependencias son arriesgadas y si existe una actualización segura. Sin conjeturas, sin sorpresas. Simplemente aplica el parche y sigue adelante.
Primeros pasos con Aikido + Seguridad de Bazel
Empezar es fácil: Regístrate en Aikido y pregúntanos en el chat de la aplicación para activar el escaneo de Bazel, o reserva una llamada rápida con nuestro equipo para una demostración.
Aikido actualmente es compatible con Java a través de Maven, y próximamente con GO, C, C++, Python, Scala,...
