Copilot Correzione automatica per gli avvisi di sicurezza del codice (anteprima)

Copilot Autofix fornisce correzione autonoma per gli avvisi dell'analisi del codice e le vulnerabilità di sicurezza dell'analisi delle dipendenze in GitHub Advanced Security per Azure DevOps. Aprire un avviso supportato e selezionare Generate fix. L'agente di programmazione Copilot può esplorare il contesto del repository pertinente, esaminare e perfezionare le modifiche proposte e aprire una pull request con una correzione suggerita.

Esamini, testi e unisci la modifica tramite il normale flusso di lavoro delle richieste pull. I passaggi sono gli stessi per entrambi i tipi di avviso. Scegliere l'elenco di avvisi appropriato per iniziare e quindi usare lo scanner pertinente per verificare la correzione integrata.

GitHub Advanced Security per Azure DevOps funziona con Azure Repos. Per utilizzare GitHub Advanced Security con i repository di GitHub, vedere GitHub Advanced Security.

Prerequisites

Per altre informazioni sulle autorizzazioni di sicurezza avanzata, vedere Gestire le autorizzazioni di sicurezza avanzata.

• Analisi del codice o analisi delle dipendenze configurata per generare avvisi per il repository.
• Almeno un avviso supportato.
• L'autorizzazione del repository Advanced Security: view alerts per l'utente che seleziona Genera correzione.
• Accesso al pool di agenti Azure Pipelines. Copilot Autofix accoda un processo di pipeline ospitato da Microsoft per generare e pubblicare la correzione. L'esecuzione richiede un processo parallelo disponibile. Se tutti i processi paralleli sono in uso, la correzione rimane in coda fino a quando non diventa disponibile la capacità.

Copilot Autofix esegue operazioni nel repository usando un'identità dedicata denominata GitHub Copilot ({organization}), non un account Build Service di progetto o di raccolta. Il servizio concede automaticamente all'identità le autorizzazioni seguenti:

Non è necessario concedere queste autorizzazioni a un account Build Service. Se l'organizzazione usa autorizzazioni di negazione esplicite, verificare che non blocchino l' GitHub Copilot ({organization}) identità.

Come funziona Autofix agentico

Agentic Autofix usa i risultati dell'avviso e il contesto del repository, invece di basarsi solo sulla posizione del codice segnalato. L'agente di codifica Copilot può usare istruzioni personalizzate incluse nel repository e competenze pertinenti per comprendere gli standard di codifica, l'architettura e i modelli di correzione. Può esaminare e perfezionare la modifica proposta prima di aprire una pull request che contiene:

• Modifica del codice suggerita che risolve la vulnerabilità sottostante.
• Descrizione dell'avviso da correggere, inclusi l'ID avviso, la gravità e un riepilogo della modifica.

Poiché la correzione suggerita considera il contesto più ampio della codebase, la modifica può estendersi più della singola riga in cui è stato generato l'avviso e può includere modifiche ad altri file, se necessario.

Avvisi supportati

Per entrambi i tipi di avviso supportati, Copilot Autofix propone una modifica da esaminare. Non garantisce una correzione per ogni problema rilevato. Per altre informazioni, vedere Correzione non disponibile.

Fornire istruzioni sul repository e competenze

Fornisci ad Autofix agentico il contesto che vuoi che prenda in considerazione durante la generazione di una correzione. Archiviare le istruzioni e le competenze personalizzate nel repository nelle posizioni .agents o .github supportate. Questi file possono aiutare l'agente di codifica Copilot seguire gli standard di codifica del team e i flussi di lavoro di correzione stabiliti.

Aggiungere standard di codifica alle istruzioni personalizzate

Usare istruzioni personalizzate a livello di repository, ad esempio .github/copilot-instructions.md, per descrivere in che modo le modifiche devono adattarsi al progetto. Includi indicazioni sulle convenzioni di denominazione, librerie approvate, limiti dell'architettura e su come compilare e testare le modifiche.

Ad esempio, se il team richiede un helper di convalida dell'input condiviso, descrivere tale requisito nelle istruzioni. Non presupporre che l'agente lo dedurrà dall'avviso.

# Coding standards

- Use the existing input-validation helpers instead of adding new validation logic.
- Follow the naming conventions in the surrounding code.
- Keep dependency changes scoped to the vulnerability being fixed.
- Update the relevant tests when a fix changes behavior.
- Run the documented build and test commands before proposing a change.

Usare i nomi file e i percorsi supportati da Copilot. Un file denominato custom-instructions.md non costituisce, solo in virtù del nome, un file di istruzioni Copilot valido per l'intero repository. Per il formato di file a livello di repository, vedere Aggiungere istruzioni personalizzate del repository per GitHub Copilot.

Aggiungere abilità per le attività di correzione ripetibili

Le skill del repository possono fornire istruzioni, script e risorse di supporto specifiche dell'attività. Archiviare una skill in una directory, .github/skills/<skill-name>/ ad esempio o .agents/skills/<skill-name>/, con le relative istruzioni in SKILL.md.

Ad esempio, una competenza di aggiornamento delle dipendenze può descrivere la procedura di aggiornamento dei pacchetti e i controlli di compatibilità. Un'abilità di correzione del codice può descrivere come usare le librerie di sicurezza approvate. Agentic Autofix può fare riferimento alle competenze pertinenti come parte della generazione di una correzione; non tutte le competenze si applicano a ogni avviso. Per il formato delle competenze, vedere Informazioni sulle competenze dell'agente.

Billing

Copilot Autofix è incluso nella tua licenza GitHub Advanced Security for Azure DevOps. La generazione di una correzione usa i crediti di intelligenza artificiale dal contatore di fatturazione Azure dell'organizzazione.

Ogni generazione di correzione utilizza token, che includono token di input per il contesto di codice inviato al modello, token di output per la modifica suggerita e token memorizzati nella cache che riutilizzano il contesto esistente.

Per semplificare la fatturazione, questi token vengono convertiti in un'unità standard denominata credito di intelligenza artificiale GitHub, dove 1 credito è uguale a $0,01 USD. Gli addebiti vengono fatturati alla sottoscrizione Azure collegata all'organizzazione Azure DevOps e vengono visualizzati come contatori separati in Gestione costi di Azure.

Il costo di ogni correzione varia in base alle dimensioni del contesto del codice circostante e alla complessità della modifica.

Visualizzare i costi di Autofix per progetto

Copilot Autofix supporta i tag di organizzazione e di progetto, in modo da filtrare i costi di utilizzo e confrontare i costi tra i progetti Azure DevOps.

1. Nel portale di Azure aprire la sottoscrizione collegata all'organizzazione Azure DevOps. Passare ad Gestione costi>Analisi dei costi.
2. Selezionare l'intervallo di date da rivedere.
3. Aggiungere un filtro Meter e selezionare AI Credit for AzDO GAC. Questo filtro isola gli addebiti per l'utilizzo di Autofix da altri costi di sottoscrizione.
4. Aggiungere un filtro tag per _organizationname_ e selezionare le organizzazioni Azure DevOps i cui costi si desidera visualizzare.
5. Impostare Group by sul _projectname_ tag per visualizzare la suddivisione dei costi di Autofix in base al progetto.

Per esaminare le singole date, impostare Granularità su Giornaliero e impostare la visualizzazione su Tabella. Mantenere i filtri di contatore e organizzazione e il raggruppamento del progetto. È anche possibile filtrare il _projectname_ tag per limitare la tabella a progetti specifici.

Abilita l'autocorrezione di Copilot

Puoi abilitare Copilot Autofix a livello di organizzazione, di progetto o di repository. Quando si abilita Autofix a un livello più ampio, l'impostazione si applica a tutti i repository all'interno di tale ambito. Scegliere dove configurare Autofix in base ai repository a cui si desidera applicare l'impostazione:

Per abilitare Copilot Autofix:

1. Accedere all'organizzazione di Azure DevOps (https://dev.azure.com/{yourorganization}).
2. Passare alla pagina delle impostazioni per l'ambito dell'organizzazione, del progetto o del repository che si vuole configurare.
3. Nella sezione Sicurezza avanzata, individuare Correzione automatica per gli avvisi di sicurezza. Se si usa Code Security autonomo, selezionare Opzioni per aprire il pannello Funzionalità di sicurezza del codice.
4. Selezionare Autofix per gli avvisi di sicurezza. La stessa impostazione abilita Copilot Autofix per gli avvisi supportati di code scanning e dependency scanning.
5. Se si usa il pannello Funzionalità di sicurezza del codice , selezionare Applica per salvare le modifiche.

Per gli screenshot delle impostazioni di Advanced Security in bundle e di Code Security standalone, vedere Configure Copilot Autofix.

L'abilitazione della Correzione automatica non configura l'analisi né genera automaticamente correzioni. Configurare prima di tutto l'analisi del codice o l'analisi delle dipendenze. Richiedere quindi una correzione da un avviso compatibile.

Genera una soluzione per un avviso

Dopo aver abilitato Copilot Autofix, usare gli stessi passaggi per un avviso di analisi del codice supportato o un avviso di vulnerabilità di dipendenza.

1. Selezionare Repos>Advanced Security.
2. Aprire l'elenco di avvisi per l'analisi del codice o l'analisi delle dipendenze e quindi selezionare un avviso per aprire la visualizzazione dei dettagli.
3. Esaminare le indicazioni relative al riscontro, al codice o alle dipendenze interessate e alle indicazioni per la correzione.
4. Selezionare Genera correzione.

Gli esempi di analisi del codice seguenti illustrano il flusso di lavoro condiviso. Un esempio di analisi delle dipendenze mostra una richiesta pull generata più avanti in questa sezione.

Mentre Copilot Autofix lavora alla correzione, la visualizzazione dei dettagli dell'avviso mostra che la correzione è in corso. Copilot Autofix apre una pull request quando la correzione è pronta.

Copilot Autofix genera la correzione e apre una pull request da un branch denominato copilot-autofix/.... La pull request è etichettata con un tag Copilot Autofix, che puoi usare per identificare le pull request Autofix nell'elenco delle pull request.

Una sola correzione può essere attiva per lo stesso avviso e ramo. Mentre una richiesta è in sospeso o la relativa pipeline è in esecuzione, Genera correzione non è disponibile. Se un'altra richiesta viene inviata contemporaneamente, l'avviso indica che è già in corso la generazione di una correzione. È possibile generare un'altra correzione dopo che la richiesta attiva ha esito positivo o negativo.

Per gli avvisi CodeQL, la pull request viene visualizzata automaticamente sotto Richieste pull correlate nella vista dei dettagli dell’avviso e continua ad aggiornarsi man mano che la generazione e il completamento avanzano, quindi non è necessario ricaricare la pagina.

L'esempio di analisi delle dipendenze seguente mostra una pull request Autofix attiva per un pacchetto vulnerabile in Richieste pull correlate.

Se Copilot Autofix non produce modifiche al codice per l’avviso, non crea un ramo né una pull request e non collega una pull request nella vista dei dettagli dell’avviso. In questo caso, correggere manualmente l'avviso. Per altre informazioni, vedere Correzione non disponibile.

Esaminare e unire la correzione

La pull request aperta da Copilot Autofix si comporta come qualsiasi altra pull request di Azure Repos. La sua descrizione riassume l'avviso a cui si riferisce la correzione.

L'etichetta Copilot Autofix identifica le pull request di correzione automatica.

1. Apri la pull request dalla sezione Pull request correlate dell'avviso, oppure da Repos>Pull requests.
2. Esaminare la modifica proposta nella scheda File in tutti i file interessati.
3. Modificare la modifica se è necessario corrispondere allo stile di codice, alle convenzioni di denominazione o ai requisiti del progetto.
4. Approva e completa la pull request seguendo il normale flusso di revisione.

Dopo aver unito la pull request, eseguire lo scanner pertinente nel ramo di destinazione unito. Copilot Autofix non esegue questa scansione post-merge.

Il merge di una pull request da solo non chiude l'alert. Sicurezza avanzata aggiorna lo stato dell'avviso dopo l'elaborazione dei nuovi risultati di analisi. Verificare che tali risultati non segnalano più la vulnerabilità.

Risolvere i problemi di Copilot Autofix

Correzione in corso

La maggior parte delle esecuzioni di Copilot Autofix viene completata in circa 2-5 minuti. Il tempo di esecuzione può variare in base alla capacità della pipeline disponibile e alla complessità della modifica. Se tutti i processi paralleli sono in uso, la pipeline rimane in coda e l'avviso continua a mostrare Correzione in corso fino a quando non diventa disponibile la capacità.

Una richiesta che rimane in sospeso prima che una pipeline venga accodata ha esito negativo dopo 30 minuti. Una pipeline in attesa o in esecuzione prevede un timeout di due ore. L'avviso potrebbe smettere di aggiornarsi automaticamente prima che venga raggiunto il timeout del back-end. Se l'avviso rimane in corso:

1. Aggiornare la pagina dei dettagli dell'avviso.
2. Se è disponibile Visualizza esecuzione, aprire l'esecuzione della pipeline e verificare se è in coda o in esecuzione.
3. Attendere che la richiesta raggiunga uno stato riuscito o non riuscito. Non inviare un'altra richiesta mentre la richiesta esistente è attiva.
4. Se la richiesta ha esito negativo, esaminare il messaggio di errore e selezionare Riprova correzione dopo aver risolto la causa.

Richiesta pull creata ma non collegata all'avviso

La richiesta pull può essere creata correttamente prima che venga visualizzata in Richieste pull correlate. Aggiornare la pagina dei dettagli dell'avviso. Se la pull request non è ancora collegata, selezionare Repos>Pull requests e cercare:

• L'etichetta Copilot Autofix.
• Ramo di origine che inizia con copilot-autofix/.
• Titolo o descrizione della richiesta pull che fa riferimento all'avviso.

Esaminare e unire la pull request seguendo il normale flusso di lavoro delle pull request, anche se il link non viene visualizzato nell'avviso.

Le operazioni del repository o della pull request non riescono

Copilot Autofix esegue un clone superficiale del ramo associato all'avviso. Non inizializza i moduli secondari Git. Crea un ramo denominato copilot-autofix/... in modo univoco, esegue il push della modifica generata e apre una richiesta pull destinata al ramo di avviso.

Usa View run dallo stato di errore dell’avviso per esaminare i log della pipeline. Nella tabella seguente sono elencate le cause e le azioni comuni:

È stata generata una correzione, ma non è stato possibile eseguire il commit o il push

Copilot Autofix usa noreply@dev.azure.com come indirizzo email dell'autore del commit. Se un criterio di convalida dell'indirizzo email dell'autore del commit non consente questo indirizzo, Copilot Autofix può generare la modifica al codice, ma non può eseguire il commit o il push per creare la pull request.

La vista dei dettagli dell'avviso mostra un errore che identifica l'indirizzo email dell'autore del commit bloccato.

Aggiungere noreply@dev.azure.com ai modelli di posta elettronica consentiti nei criteri di convalida dell'autore del commit:

1. Seleziona Impostazioni del progetto>Repository.
2. Selezionare Tutti i repository per aggiornare i criteri a livello di progetto o selezionare il repository con i criteri.
3. Selezionare Politiche.
4. In Criteri del repository, individua Convalida dell'email dell'autore del commit.
5. Aggiungere noreply@dev.azure.com ai modelli di posta elettronica consentiti.
6. Tornare all'avviso e selezionare Riprova la correzione.

Un'esecuzione fallisce

Se un'esecuzione di Copilot Autofix non può essere completata, l'avviso mostra uno stato di errore ben visibile, in modo da consentirti di vedere rapidamente che l'esecuzione non è riuscita. Dallo stato di errore, è possibile ritentare l'esecuzione per generare una nuova correzione.

Un'esecuzione può non riuscire per motivi temporanei o quando l'esecuzione non produce una modifica del codice utilizzabile. Ripetere l'esecuzione per generare di nuovo la correzione.

Un avviso rimane aperto dopo l'unione della correzione

L'unione di una pull request Autofix non chiude l'avviso da sola. Sicurezza avanzata richiede nuovi risultati dallo scanner che ha segnalato il rilevamento. Se l'avviso rimane aperto:

1. Verificare che la richiesta pull sia stata unita nello stesso ramo in cui è stato rilevato l'avviso.
2. Verificare che l'analisi del codice o l'analisi delle dipendenze, in base alle esigenze, sia stata eseguita dopo l'unione e abbia analizzato il commit unito.
3. Verificare che Advanced Security abbia elaborato i risultati aggiornati per il repository e il ramo corretti.
4. Esaminare i nuovi risultati per verificare che la vulnerabilità non venga più rilevata.
5. Se la vulnerabilità è ancora presente, aggiornare la correzione ed eseguire di nuovo lo scanner pertinente.

Correzione non disponibile

Copilot Autofix non può generare una correzione per ogni avviso. Una correzione potrebbe non essere disponibile quando:

• Il tipo di avviso non è attualmente supportato da Copilot Autofix.
• Copilot determina che l'avviso potrebbe essere un falso positivo.
• Copilot Autofix viene eseguito ma non produce alcuna modifica al codice. In questo caso, non viene creato alcun branch né alcuna pull request.

Se Copilot Autofix determina che l'avviso potrebbe essere un falso positivo e non apporta alcuna modifica, la visualizzazione dei dettagli dell'avviso mostra il risultato. È possibile esaminare l'esecuzione o ritentare la correzione.

Quando una correzione non è disponibile, usare le indicazioni di correzione dell'avviso per correggerla manualmente. Chiudere un avviso solo dopo aver esaminato il risultato e aver determinato il motivo di chiusura appropriato. Per altre informazioni, vedere Dettagli dell'avviso di analisi del codice e Dettagli degli avvisi di analisi delle dipendenze.

Articoli correlati

• Configurare l'analisi del codice
• Risolvere i problemi di analisi del codice
• Configurare l'analisi delle dipendenze
• Risolvere i problemi di analisi delle dipendenze
• Configurare le funzionalità di sicurezza avanzata GitHub