CodeRabbit Secure verfolgt Schwachstellen über verknüpfte Repositories hinweg und blockiert riskante Merges

Deep Scan liest über Repository-Grenzen hinweg

CodeRabbit hat CodeRabbit Secure im August eingeführt, um anwendungsspezifische Schwachstellen aufzuspüren. Laut Unternehmen sind die Agenten auf Sicherheit ausgelegt und suchen mithilfe semantischer Analyse wie ein Angreifer nach Schwachstellen, um Entwicklerinnen und Entwicklern anschließend bei der Behebung zu helfen. Die neue Version zielt auf ein Problem, das das Unternehmen klar benennt: Angreifer setzen KI-Agenten ein, um Softwareschwächen schneller zu finden, als Teams sie prüfen können.

Die wichtigste Änderung: Deep Scan liest jetzt verknüpfte Repositories. Produktivsysteme erstrecken sich oft über mehrere Repositories, und CodeRabbit zufolge kann ein Scan, der auf eines davon beschränkt ist, übersehen, woher eine Anfrage stammt oder welche Schutzmaßnahmen greifen. Dadurch kann geschützter Code verwundbar wirken oder ein echter Angriffspfad unentdeckt bleiben. Mit dem verknüpften Kontext verfolgt Deep Scan Anfragen über Dienste und Bibliotheken hinweg und berücksichtigt Schutzmaßnahmen an anderer Stelle der Anwendung, bevor ein Fund veröffentlicht wird. Laut CodeRabbit verringert das das Rauschen und ist besonders für Teams nützlich, die Microservices oder gemeinsam genutzte Bibliotheken betreiben.

Hat CodeRabbit bereits während des Code-Reviews verwandte Repositories erkannt, nutzt Deep Scan dieselben Verknüpfungen. Nutzer können Repositories auch manuell verknüpfen und eine Notiz zu ihrem Zusammenhang hinzufügen. Welche verknüpften Repositories ein Scan lesen darf, legen die Nutzer selbst fest. Das ausgewählte Repository bleibt das Ziel, die übrigen liefern nur Kontext und werden nicht selbst gescannt.

Der Kontext verknüpfter Repositories steht für Deep Scan auf GitHub Cloud, GitHub Enterprise Server und GitLab Cloud zur Verfügung. Ein Scan kann bis zu 20 verknüpfte Repositories lesen, vorbehaltlich der Limits des jeweiligen Tarifs.

Laufzeitverifikation, Delta-Scans und Ausgabenkontrolle

Jeder Fund von Deep Scan durchläuft bereits vor der Veröffentlichung einen Verifikations-Agenten. Laut CodeRabbit öffnet der Verifizierer den zitierten Code erneut, prüft die Erreichbarkeit, sucht anderswo nach Schutzmaßnahmen und verwirft alles, was die Belege nicht stützen. Die Laufzeitverifikation fügt eine weitere Ebene hinzu: Bei geeigneten Funden spielt CodeRabbit den Exploit-Versuch in einer Wegwerf-Sandbox nach, nie gegen Produktivsysteme. Nutzer erhalten Schritte zur Reproduktion des Fundes sowie Belege aus dem Durchlauf, die zeigen, ob er standhält. Sie ist ab sofort für Deep-Scan-Funde verfügbar.

Delta-Scans sollen die Abdeckung bei geringeren Kosten aktuell halten. Ein vollständiger Deep Scan liest das gesamte Repository und legt eine Baseline fest. Delta-Scans prüfen danach nur hinzugefügte oder geänderte Dateien sowie die Teile der Attack Surface Map, die durch diese Änderungen veraltet sind. Unveränderter Code behält seinen verifizierten Status. Teams können ein Ziel für die verifizierte Abdeckung festlegen, und CodeRabbit führt einen Delta-Scan aus, sobald die Abdeckung darunter fällt, innerhalb der monatlichen Ausgabenobergrenze. Laut Unternehmen zahlen Nutzer nur für die Arbeit, auf die es ankommt, zu einem Bruchteil der Kosten eines vollständigen Scans.

• Funde lassen sich gegen den aktuellen Stand des Default-Branches erneut prüfen.
• Der Schweregrad kann angepasst und optional als Learning für künftige Scans gespeichert werden.
• Wird ein Fix gemergt, verifiziert CodeRabbit ihn und schließt den Fund automatisch.
• Ein Ausgabenlimit stoppt einen Scan, sobald das Budget erreicht ist, und der Scan kann später dort fortgesetzt werden, wo er angehalten wurde.

Merge-Sperre über Security Check

Repository-Administratoren können Merges jetzt blockieren, wenn ein Pull Request offene kritische Sicherheitsfunde enthält. Die Funktion läuft als native GitHub-Prüfung. Zum Aktivieren gehen Nutzer auf Security, dann Repositories, wählen ein Repository aus, öffnen die Einstellungen und schalten Publish CodeRabbit Security check ein.

Standardmäßig schlägt die Prüfung fehl, wenn ein sichtbarer Kommentar des Security-Reviews als Critical eingestuft ist; es lässt sich aber auch ein anderer Schwellenwert wählen. Eine fehlgeschlagene Prüfung blockiert den Merge nur dann, wenn ein Administrator CodeRabbit Security in einer Branch-Protection-Regel oder einem Ruleset als erforderliche Prüfung hinterlegt.

Der Prüfbericht zeigt die Anzahl der Kommentare nach Schweregrad, verifizierte Fixes und verbleibende Blocker, jeweils mit Link zum Kommentar. Einen GitHub-Thread als gelöst zu markieren, räumt einen Blocker nicht aus. Er bleibt über mehrere Pushes hinweg bestehen, bis CodeRabbit den Fix verifiziert hat. Security Check funktioniert derzeit auf GitHub, weitere Plattformen stehen laut CodeRabbit auf der Roadmap. Mit dem Release kommen außerdem Integrationen hinzu, die Funde in die Ticketsysteme übertragen, die Teams bereits nutzen.

Was das für Teams bedeutet

Für Teams mit Microservices oder gemeinsam genutzten Bibliotheken soll der Kontext über Repository-Grenzen hinweg Fehlalarme reduzieren und Angriffspfade sichtbar machen, die ein Scan eines einzelnen Repositories übersehen würde. Die Laufzeitverifikation liefert Security-Engineers Reproduktionsschritte und Belege, sodass sich die Triage auf Funde konzentrieren kann, die Bestand haben. Ausgabenlimits, fortsetzbare Scans und Delta-Scans geben Verantwortlichen in Security und Entwicklung mehr Kontrolle über die Kosten. CodeRabbit betont zudem, dass nichts davon die statischen Prüfungen ersetzt, die ein Team bereits einsetzt. Secure arbeite neben ihnen und beantworte Fragen, die feste Regeln nicht klären können, etwa ob ein authentifizierter Nutzer die angeforderten Daten tatsächlich besitzt.