Scansione AI di GitHub vs CodeQL: confronto tra copertura, risultati e controlli di merge

Usa GitHub AI Scan per integrare CodeQL quando la copertura documentata di linguaggi e framework è utile per la revisione delle pull request. Continua a usare CodeQL per le analisi supportate e i relativi flussi di lavoro degli avvisi. Non sono controlli intercambiabili: i risultati di AI Scan sono segnali consultivi limitati alle PR e non possono bloccare i merge tramite i ruleset.

Per un repository di un’applicazione self-hosted, la combinazione giusta dipende dai linguaggi e dal processo di distribuzione. Nessuno dei due scanner sostituisce l’aggiornamento di un runtime vulnerabile o la verifica dell’applicazione in produzione. Esamina il codice sorgente, distribuisci gli aggiornamenti supportati e verifica il servizio come passaggi distinti.

Quali differenze ci sono nella copertura e nei risultati?

Verifica il supporto attuale dei linguaggi, anziché basarti su una distinzione permanente. GitHub può ampliare o modificare la copertura di entrambi i prodotti.

Quale dei due è utile per PHP, Shell e i Dockerfile?

GitHub cita questi linguaggi tra gli esempi supportati da AI Scan. Questo lo rende utile per i repository che combinano un’app, script di manutenzione e configurazione dei container. Controlla i file effettivamente modificati e verifica che la PR sia idonea; restano valide le esclusioni per i fork e Dependabot.

La spiegazione di AI Scan illustra i limiti operativi. Inoltre, una segnalazione relativa a un Dockerfile non significa che ogni livello dell’immagine distribuita sia stato sottoposto a una valutazione delle vulnerabilità.

Posso usare uno dei due strumenti come requisito per il merge?

Considera AI Scan un supporto alla revisione, perché i suoi risultati consultivi non possono diventare requisiti per il merge. Per CodeQL e gli altri controlli, consulta le opzioni supportate per la protezione del code scanning e i ruleset disponibili per il tuo repository. Non dedurre che una policy sui controlli obbligatori includa AI Scan solo perché entrambi i risultati compaiono nella stessa PR.

Documenta quali controlli bloccano effettivamente il merge, quali richiedono il giudizio di un revisore e chi può ignorarli. Una dashboard che mostra entrambi gli strumenti non dimostra che applicano gli stessi controlli.

L’aggiunta di AI Scan richiede di sostituire CodeQL?

No. Lo scopo documentato è offrire una copertura complementare. Parti dai linguaggi e dalle lacune del tuo repository, verifica l’idoneità della funzionalità e la fatturazione, quindi attiva il controllo aggiuntivo dove è utile. Non rimuovere un’analisi funzionante solo perché è disponibile una nuova funzionalità basata sull’IA.

Usa la guida alla configurazione di AI Scan per verificare le policy effettive. Esamina una normale modifica coperta dall’ambito prima di estendere l’attivazione a più progetti.

Come collego l’analisi alla distribuzione su un home server?

Mantieni tracciabili la revisione del codice esaminata, l’immagine compilata e il servizio distribuito. Il risultato di uno scanner riguarda il codice analizzato; il server in esecuzione potrebbe usare un’immagine diversa o un pacchetto obsoleto. Registra ciò che è stato effettivamente distribuito e verifica un flusso operativo critico dell’applicazione.

La guida dagli avvisi alla distribuzione colma questa lacuna. Per le applicazioni di terze parti, la guida all’identificazione del runtime PHP aiuta a distinguere le modifiche al tuo repository dagli aggiornamenti del runtime del fornitore.

Domande frequenti

AI Scan dovrebbe sostituire CodeQL?

Non ne consegue alcuna sostituzione automatica. Il ruolo documentato è offrire una copertura complementare per linguaggi e framework selezionati.

I risultati di AI Scan sono normali avvisi relativi all’arretrato?

No. GitHub li documenta come risultati delle pull request, non come avvisi relativi all’arretrato dell’intero repository nella vista Sicurezza.

Posso richiedere che ogni risultato di AI Scan superi i controlli di un ruleset?

No. I risultati di AI Scan sono indicazioni e non impongono requisiti per il merge.

Il superamento dell’analisi del codice dimostra che l’app NAS distribuita è stata corretta?

No. Verifica separatamente la revisione compilata e in esecuzione, la correzione applicabile al runtime e il comportamento specifico del servizio.

Approfondimenti correlati

• GitHub AI Scan spiegato: controlli di sicurezza per progetti PHP, Shell e Docker
• Come abilitare GitHub AI Scan per il repository della tua app self-hosted

Fonti

• Annuncio ufficiale e documentazione del modello — github.blog
• Documentazione tecnica e materiale di riferimento — docs.github.com
• Documentazione tecnica e materiale di riferimento — docs.github.com

Copertina: immagine dell’annuncio ufficiale di GitHub AI Scan. Fonte dell’immagine.