GitHub AI Scan vs CodeQL : comparaison de la couverture, des résultats et des contrôles de fusion

Utilisez GitHub AI Scan en complément de CodeQL lorsque sa couverture documentée des langages et des frameworks peut contribuer à la revue de vos pull requests. Conservez CodeQL pour ses analyses prises en charge et ses processus de gestion des alertes. Ces outils ne sont pas interchangeables : les résultats d’AI Scan sont des signaux consultatifs limités aux pull requests et ne peuvent pas bloquer les fusions au moyen de règles.

Pour un dépôt d’application auto-hébergée, la bonne combinaison dépend de vos langages et de votre processus de déploiement. Aucun des deux outils d’analyse ne remplace la mise à jour d’un environnement d’exécution vulnérable ni la vérification de l’application en production. Examinez le code source, déployez les modifications prises en charge et vérifiez le service comme des étapes distinctes.

Quelles sont les différences de couverture et de résultats ?

Vérifiez la prise en charge actuelle des langages au lieu de vous fier à une répartition permanente. GitHub peut étendre ou modifier la couverture de l’un ou l’autre produit.

Quel outil est adapté à PHP, Shell et aux Dockerfiles ?

GitHub cite ces éléments parmi les exemples pris en charge par AI Scan. L’outil est donc pertinent pour les dépôts qui combinent une application, des scripts de maintenance et une configuration de conteneur. Vérifiez les fichiers réellement modifiés et si la pull request est admissible ; les exclusions concernant les forks et Dependabot s’appliquent toujours.

L’explication d’AI Scan présente ses limites opérationnelles. Une découverte dans un Dockerfile ne signifie pas non plus que chaque couche de l’image déployée a fait l’objet d’une évaluation des vulnérabilités.

Puis-je utiliser l’un ou l’autre outil comme condition de fusion ?

Considérez AI Scan comme une aide à la revue, car ses résultats consultatifs ne peuvent pas devenir des exigences de fusion. Pour CodeQL et les autres contrôles, consultez les options prises en charge de protection de l’analyse du code et de règles pour votre dépôt. Ne déduisez pas qu’une politique de vérifications obligatoires couvre AI Scan simplement parce que les résultats des deux outils apparaissent dans la même pull request.

Documentez les contrôles qui bloquent réellement les fusions, ceux qui nécessitent le jugement d’un réviseur et les personnes qui peuvent les contourner. Un tableau de bord affichant les deux outils ne prouve pas qu’ils appliquent les mêmes règles.

Remplacer CodeQL nécessite-t-il d’ajouter AI Scan ?

Non. Son objectif documenté est d’offrir une couverture complémentaire. Commencez par les langages utilisés dans votre dépôt et les lacunes à combler, vérifiez l’admissibilité de la fonctionnalité et la facturation, puis activez ce signal supplémentaire là où il est utile. Évitez de supprimer une analyse qui fonctionne simplement parce qu’une nouvelle fonctionnalité d’IA est disponible.

Consultez le guide de configuration d’AI Scan pour vérifier les politiques effectivement appliquées. Examinez une modification ordinaire entrant dans le périmètre avant d’étendre l’activation à plusieurs projets.

Comment relier l’analyse au déploiement sur un serveur domestique ?

Assurez la traçabilité entre la révision du code examinée, l’image compilée et le service déployé. Le résultat d’un outil d’analyse concerne le code analysé ; le serveur en cours d’exécution peut utiliser une autre image ou un paquet obsolète. Consignez ce qui a réellement été déployé et vérifiez un parcours critique de l’application.

Le guide des avis de sécurité au déploiement comble cet écart. Pour les applications tierces, le guide d’identification de l’environnement d’exécution PHP permet de distinguer les modifications apportées à votre dépôt d’une mise à jour de l’environnement d’exécution par un fournisseur.

Foire aux questions

AI Scan devrait-il remplacer CodeQL ?

Aucun remplacement automatique n’est prévu. Son rôle documenté est d’offrir une couverture complémentaire pour certains langages et frameworks.

Les résultats d’AI Scan sont-ils des alertes de backlog ordinaires ?

Non. GitHub les décrit comme des résultats associés aux demandes de tirage, et non comme des alertes de backlog concernant l’ensemble du dépôt dans la vue de sécurité.

Puis-je exiger que tous les résultats d’AI Scan satisfassent à une règle ?

Non. Les résultats d’AI Scan sont consultatifs et n’imposent pas d’exigences de fusion.

Le passage de l’analyse du code prouve-t-il que l’application NAS déployée est corrigée ?

Non. Vérifiez séparément la révision compilée et en cours d’exécution, le correctif applicable à l’environnement d’exécution et le comportement ciblé du service.

Articles connexes

• GitHub AI Scan expliqué : contrôles de sécurité pour les projets PHP, Shell et Docker
• Comment activer GitHub AI Scan pour le dépôt de votre application auto-hébergée

Sources

• Annonce officielle et documentation des modèles — github.blog
• Documentation technique et référence — docs.github.com
• Documentation technique et référence — docs.github.com

Couverture : image officielle de l’annonce de GitHub AI Scan. Source de l’image.