GitHub AI Scan vs. CodeQL: Abdeckung, Ergebnisse und Merge-Kontrollen im Vergleich

Nutze GitHub AI Scan als Ergänzung zu CodeQL, wenn die dokumentierte Sprach- und Framework-Abdeckung deine Prüfung von Pull Requests unterstützt. Verwende CodeQL weiterhin für die unterstützten Analysen und Benachrichtigungsabläufe. Die Tools sind keine austauschbaren Kontrollen: AI-Scan-Befunde sind unverbindliche Hinweise, die nur in PRs erscheinen, und können das Zusammenführen nicht über Regelwerke blockieren.

Für ein Repository mit einer selbst gehosteten Anwendung hängt die passende Kombination von den verwendeten Sprachen und deinem Bereitstellungsprozess ab. Keiner der Scanner ersetzt das Aktualisieren einer anfälligen Laufzeitumgebung oder die Prüfung der aktiven Anwendung. Prüfe den Quellcode, spiele unterstützte Änderungen ein und überprüfe den Dienst als separate Schritte.

Worin unterscheiden sich Abdeckung und Ergebnisse?

Prüfe die aktuelle Sprachunterstützung, statt von einer dauerhaft festen Aufteilung auszugehen. GitHub kann den Umfang der Unterstützung beider Produkte erweitern oder ändern.

Welches Tool eignet sich für PHP, Shell und Dockerfiles?

GitHub nennt diese Beispiele als von AI Scan unterstützte Fälle. Dadurch ist das Tool für Repositories relevant, die eine App, Wartungsskripte und Containerkonfiguration kombinieren. Prüfe die tatsächlich geänderten Dateien und ob der PR die Voraussetzungen erfüllt; Ausschlüsse für Forks und Dependabot gelten weiterhin.

Die Erklärung zu AI Scan behandelt die praktischen Grenzen. Ein Befund in einer Dockerfile bedeutet außerdem nicht, dass jede Ebene des bereitgestellten Images auf Schwachstellen geprüft wurde.

Kann ich eines der beiden Tools als Voraussetzung für das Zusammenführen verwenden?

Behandle AI Scan als Prüfhinweis, da seine unverbindlichen Ergebnisse nicht zu Anforderungen für das Zusammenführen werden können. Informiere dich für CodeQL und andere Prüfungen über die unterstützten Schutzoptionen für die Codeanalyse und Regelwerkoptionen für dein Repository. Leite nicht daraus ab, dass eine Richtlinie für erforderliche Prüfungen auch AI Scan abdeckt, nur weil beide Ergebnisse im selben PR erscheinen.

Dokumentiere, welche Kontrollen das Zusammenführen tatsächlich blockieren, welche ein Urteil durch Reviewer erfordern und wer sie umgehen kann. Ein Dashboard, das beide Tools anzeigt, belegt nicht, dass sie identisch durchgesetzt werden.

Muss ich CodeQL ersetzen, wenn ich AI Scan hinzufüge?

Nein. Der dokumentierte Zweck ist die ergänzende Abdeckung. Beginnen Sie mit den Sprachen und Lücken in Ihrem Repository, prüfen Sie die Verfügbarkeit der Funktion und die Abrechnung und aktivieren Sie dann das zusätzliche Signal dort, wo es nützlich ist. Entfernen Sie keine funktionierende Analyse, nur weil eine neue KI-Funktion verfügbar ist.

Nutzen Sie den Einrichtungsleitfaden für AI Scan, um die tatsächlich geltenden Richtlinien zu prüfen. Überprüfen Sie eine normale Änderung im vorgesehenen Umfang, bevor Sie die Aktivierung auf mehrere Projekte ausweiten.

Wie verbinde ich das Scanning mit einer Bereitstellung auf einem Home-Server?

Sorgen Sie dafür, dass die überprüfte Quellrevision, das erstellte Image und der bereitgestellte Dienst nachvollziehbar bleiben. Ein Scannergebnis bezieht sich auf den analysierten Code; auf dem laufenden Server kann ein anderes Image oder ein veraltetes Paket verwendet werden. Dokumentieren Sie, was tatsächlich bereitgestellt wurde, und überprüfen Sie einen wichtigen Anwendungsablauf.

Der Leitfaden von der Sicherheitsempfehlung bis zur Bereitstellung schließt diese Lücke. Bei Drittanbieteranwendungen hilft der Leitfaden zur Ermittlung der PHP-Laufzeitumgebung dabei, Änderungen in Ihrem Repository von einer Aktualisierung der Laufzeitumgebung des Anbieters zu unterscheiden.

Häufig gestellte Fragen

Sollte AI Scan CodeQL ersetzen?

Es erfolgt kein automatischer Ersatz. Die dokumentierte Funktion ist die ergänzende Abdeckung ausgewählter Sprachen und Frameworks.

Sind AI-Scan-Ergebnisse gewöhnliche Backlog-Warnungen?

Nein. GitHub dokumentiert sie als Ergebnisse in Pull Requests und nicht als Sicherheitswarnungen für den Backlog des gesamten Repositorys in der Sicherheitsansicht.

Kann ich verlangen, dass jedes Ergebnis von AI Scan eine Regel erfüllt?

Nein. Die Ergebnisse von AI Scan sind Empfehlungen und erzwingen keine Merge-Anforderungen.

Beweist ein erfolgreiches Code-Scanning, dass die bereitgestellte NAS-App gepatcht ist?

Nein. Überprüfen Sie die gebaute und laufende Revision, den zutreffenden Laufzeit-Fix und das gezielte Verhalten des Dienstes separat.

Weiterführende Artikel

• GitHub AI Scan erklärt: Sicherheitsprüfungen für PHP-, Shell- und Docker-Projekte
• So aktivieren Sie GitHub AI Scan für Ihr Repository mit selbst gehosteter App

Quellen

• Offizielle Ankündigung und Modelldokumentation – github.blog
• Technische Dokumentation und Referenz – docs.github.com
• Technische Dokumentation und Referenz – docs.github.com

Titelbild: Offizielles Ankündigungsbild von GitHub AI Scan. Bildquelle.