Copilot Autofix dla alertów zabezpieczeń kodu (wersja zapoznawcza)

Copilot Autofix zapewnia remediację wspomaganą agentowo dla alertów skanowania kodu i podatności wykrywanych podczas skanowania zależności w usłudze GitHub Advanced Security dla Azure DevOps. Otwórz obsługiwane ostrzeżenie i wybierz pozycję Generuj poprawkę. Agent kodowania Copilot może eksplorować odpowiedni kontekst repozytorium, przeglądać i udoskonalać proponowane zmiany oraz otwierać pull request z sugerowaną poprawką.

Przeglądasz, testujesz i scalasz zmianę w ramach normalnego przepływu pracy pull request. Kroki są takie same dla obu typów alertów. Wybierz odpowiednią listę alertów, aby rozpocząć, a następnie użyj odpowiedniego skanera, aby zweryfikować scaloną poprawkę.

GitHub Advanced Security for Azure DevOps współpracuje z Azure Repos. Aby użyć GitHub Advanced Security z repozytoriami GitHub, zobacz GitHub Advanced Security.

Prerequisites

Aby uzyskać więcej informacji na temat uprawnień zabezpieczeń zaawansowanych, zobacz Zarządzanie uprawnieniami zabezpieczeń zaawansowanych.

• Skanowanie kodu lub skanowanie zależności skonfigurowane i generujące alerty dla repozytorium.
• Co najmniej jeden obsługiwany alert.
• Uprawnienie do repozytorium Zabezpieczenia zaawansowane: wyświetlanie alertów dla użytkownika, który wybiera pozycję Generuj poprawkę.
• Dostęp do puli agentów Azure Pipelines. Copilot Autofix umieszcza w kolejce zadanie potoku hostowanego przez firmę Microsoft w celu wygenerowania i opublikowania poprawki. To uruchomienie wymaga dostępnego zadania równoległego. Jeśli wszystkie zadania równoległe są używane, poprawka pozostaje w kolejce do momentu udostępnienia pojemności.

Copilot Autofiks wykonuje operacje repozytorium przy użyciu dedykowanej tożsamości o nazwie GitHub Copilot ({organization}), a nie konta usługi kompilacji projektu lub kolekcji. Usługa automatycznie przyznaje tej tożsamości następujące uprawnienia:

Nie musisz udzielać tych uprawnień do konta usługi kompilacji. Jeśli organizacja używa jawnych uprawnień odmawiających, sprawdź, czy nie blokują one tożsamości GitHub Copilot ({organization}).

Jak działa agentowy Autofix

Agentic Autofix używa wyników alertu i kontekstu repozytorium, zamiast polegać tylko na zgłaszanej lokalizacji kodu. Agent kodowania Copilot może używać niestandardowych instrukcji zapisanych w repozytorium i odpowiednich umiejętności, aby zrozumieć standardy kodowania, architekturę i wzorce korygowania. Przed otwarciem pull request zawierającego następujące elementy można przejrzeć i uściślić proponowaną zmianę:

• Sugerowana zmiana kodu, która usuwa podstawową lukę w zabezpieczeniach.
• Opis naprawionego alertu, w tym identyfikator alertu, ważność i podsumowanie zmiany.

Sugerowana poprawka uwzględnia szerszy kontekst bazy kodu, dlatego zmiana może obejmować więcej niż pojedynczy wiersz, w którym został zgłoszony alert, i może zawierać zmiany w innych plikach w razie potrzeby.

Obsługiwane alerty

W przypadku dowolnego obsługiwanego typu alertu Copilot Autofix proponuje zmianę do przejrzenia. Nie gwarantuje poprawki dla każdego ustalenia. Aby uzyskać więcej informacji, zobacz Poprawka jest niedostępna.

Podaj instrukcje dotyczące repozytorium i wymagane umiejętności

Nadaj agentic Autofix kontekst, który ma zostać uwzględniony podczas generowania poprawki. Zamelduj niestandardowe instrukcje i umiejętności do repozytorium w obsługiwanych lokalizacjach .github lub .agents. Te pliki mogą pomóc agentowi programistycznemu Copilot przestrzegać standardów kodowania twojego zespołu i ustalonych przepływów pracy naprawy.

Dodawanie standardów kodowania do niestandardowych instrukcji

Użyj niestandardowych instrukcji dotyczących całego repozytorium, takich jak .github/copilot-instructions.md, aby opisać, jak zmiany powinny pasować do projektu. Dołącz wskazówki dotyczące konwencji nazewnictwa, zatwierdzonych bibliotek, granic architektury oraz sposobu kompilowania i testowania zmian.

Jeśli na przykład zespół wymaga wspólnej funkcji do walidacji danych wejściowych, opisz to wymaganie w instrukcjach. Nie zakładaj, że agent wywnioskuje to z alertu.

# Coding standards

- Use the existing input-validation helpers instead of adding new validation logic.
- Follow the naming conventions in the surrounding code.
- Keep dependency changes scoped to the vulnerability being fixed.
- Update the relevant tests when a fix changes behavior.
- Run the documented build and test commands before proposing a change.

Użyj nazw plików i lokalizacji obsługiwanych przez Copilot. Plik o nazwie custom-instructions.md samą swoją nazwą nie stanowi pliku instrukcji Copilot dla całego repozytorium. Aby zapoznać się z formatem pliku w całym repozytorium, zobacz Dodawanie niestandardowych instrukcji dotyczących repozytorium dla GitHub Copilot.

Dodawanie umiejętności do powtarzalnych zadań naprawczych

Funkcje repozytorium mogą zapewniać instrukcje, skrypty i zasoby pomocnicze specyficzne dla zadań. Przechowuj umiejętność w katalogu takim jak .github/skills/<skill-name>/ lub .agents/skills/<skill-name>/, z instrukcjami w pliku SKILL.md.

Na przykład umiejętność aktualizacji zależności może opisywać procedurę aktualizacji pakietu i testy zgodności. Umiejętność naprawy kodu może opisywać sposób używania zatwierdzonych bibliotek zabezpieczeń. Agentic Autofix może odwoływać się do odpowiednich umiejętności w ramach generowania poprawki; nie każda umiejętność ma zastosowanie do każdego alertu. Aby zapoznać się z formatem umiejętności, zobacz Informacje o umiejętnościach agenta.

Billing

Copilot Autofix jest objęty licencją GitHub Advanced Security for Azure DevOps. Utworzenie poprawki powoduje zużycie kredytów AI z licznika rozliczeniowego platformy Azure Twojej organizacji.

Każda generacja poprawki używa tokenów, które obejmują tokeny wejściowe dla kontekstu kodu wysyłanego do modelu, tokeny wyjściowe sugerowanej zmiany i buforowane tokeny, które ponownie używają istniejącego kontekstu.

Aby uprościć rozliczenia, tokeny te są przeliczane na standardową jednostkę o nazwie kredyt GitHub AI, przy czym 1 kredyt odpowiada 0,01 USD. Opłaty są naliczane za subskrypcję Azure połączoną z organizacją Azure DevOps i wyświetlane jako oddzielny miernik w Azure Cost Management.

Koszt każdej poprawki zależy od rozmiaru otaczającego kontekstu kodu i złożoności zmiany.

Wyświetlanie kosztów autofiksu według projektu

Copilot Autofix obsługuje tagi organizacji i projektu, dzięki czemu można filtrować opłaty za użycie i porównywać koszty w projektach Azure DevOps.

1. W portalu Azure otwórz subskrypcję połączoną z twoją organizacją Azure DevOps. Przejdź do Cost Management>.
2. Wybierz zakres dat, który chcesz przejrzeć.
3. Dodaj filtr Meter i wybierz pozycję AI Credit for AzDO GAC. Ten filtr izoluje opłaty za użycie autofiksu od innych kosztów subskrypcji.
4. Dodaj filtr tagów dla _organizationname_ i wybierz organizacje Azure DevOps, których koszty chcesz wyświetlić.
5. Ustaw pozycję Grupuj według na tag _projectname_, aby wyświetlić podział kosztów autofiksu w podziale na projekty.

Aby przejrzeć poszczególne daty, ustaw pozycję Stopień szczegółowości na Dziennie i przełącz wizualizację na Tabelę. Zachowaj filtry miernika i organizacji oraz grupowanie projektów. Możesz również filtrować znacznik _projectname_, aby ograniczyć tabelę do określonych projektów.

Włącz funkcję Copilot Autofix

Możesz włączyć Copilot Autofix na poziomie organizacji, projektu lub repozytorium. Po włączeniu automatycznego poprawiania na szerszym poziomie to ustawienie ma zastosowanie do wszystkich repozytoriów w tym zakresie. Wybierz, gdzie skonfigurować Autofix, w zależności od repozytoriów, których ma dotyczyć to ustawienie:

Aby włączyć automatyczne poprawki Copilot:

1. Zaloguj się do organizacji usługi Azure DevOps (https://dev.azure.com/{yourorganization}).
2. Przejdź do strony ustawień dla organizacji, projektu lub zakresu repozytorium, które chcesz skonfigurować.
3. W sekcji Advanced Security znajdź pozycję Autofix for security alerts. Jeśli używasz autonomicznego Code Security, wybierz pozycję Opcje, aby otworzyć panel Code Security features.
4. Wybierz pozycję Autofix for security alerts. To samo ustawienie umożliwia Copilot autofiks dla obsługiwanych alertów skanowania kodu i skanowania zależności.
5. Jeśli używasz panelu Funkcje zabezpieczeń kodu , wybierz pozycję Zastosuj , aby zapisać zmiany.

Aby zapoznać się ze zrzutami ekranu przedstawiającymi zarówno pakiet Advanced Security, jak i samodzielne ustawienia Code Security, zobacz Configure Copilot Autofix (Konfigurowanie autofiksu Copilot).

Włączenie autofiksu nie powoduje automatycznego konfigurowania skanowania ani generowania poprawek. Najpierw skonfiguruj skanowanie kodu lub skanowanie zależności. Następnie zażądaj poprawki dla obsługiwanego alertu.

Wygenerować poprawkę dla alertu

Po włączeniu funkcji Copilot Autofix wykonaj te same kroki w przypadku obsługiwanego alertu skanowania kodu lub alertu o luce w zabezpieczeniach zależności.

1. Wybierz Repos>Zaawansowane zabezpieczenia.
2. Otwórz listę alertów skanowania kodu lub skanowania zależności, a następnie wybierz alert, aby otworzyć widok szczegółów.
3. Przejrzyj ustalenia, kod lub zależność, których dotyczy problem, oraz wskazówki dotyczące działań naprawczych.
4. Wybierz pozycję Generuj poprawkę.

Poniższe przykłady skanowania kodu ilustrują wspólny przepływ pracy. Przykład skanowania zależności przedstawia wygenerowany pull request w dalszej części tej sekcji.

Gdy Copilot Autofix pracuje nad poprawką, w widoku szczegółów alertu widać, że poprawka jest w toku. Copilot Autofix otwiera pull request, gdy poprawka jest gotowa.

Copilot Autofix generuje poprawkę i otwiera pull request na podstawie gałęzi o nazwie copilot-autofix/.... Pull request jest oznaczony etykietą Copilot Autofix, której można użyć do identyfikowania pull requestów Autofix na liście pull requestów.

Tylko jedna poprawka może być aktywna dla tego samego alertu i gałęzi. Gdy żądanie jest oczekujące lub jego potok jest uruchomiony, generowanie poprawki jest niedostępne. Jeśli w tym samym czasie zostanie przesłane inne żądanie, alert pokazuje, że poprawka jest już generowana. Możesz wygenerować kolejną poprawkę, gdy aktywne żądanie zakończy się powodzeniem lub niepowodzeniem.

W przypadku alertów CodeQL żądanie ściągnięcia jest wyświetlane automatycznie w obszarze Powiązane żądania ściągnięcia w widoku szczegółów alertu i kontynuuje aktualizowanie w miarę postępu generowania i uzupełniania, aby nie trzeba było odświeżać strony.

Poniższy przykład skanowania zależności przedstawia aktywne pull request Autofix dla pakietu podatnego na zagrożenia w obszarze Powiązane pull requesty.

Jeśli funkcja Copilot Autofix nie generuje żadnych zmian w kodzie dla alertu, nie tworzy gałęzi ani pull requestu i nie dodaje linku do pull requestu w widoku szczegółów alertu. W takim przypadku ręcznie koryguj alert. Aby uzyskać więcej informacji, zobacz Poprawka jest niedostępna.

Przeglądanie i scalanie poprawki

Pull request otwierany przez Copilot Autofix działa jak każdy inny pull request w usłudze Azure Repos. Jego opis podsumowuje alert, którego dotyczy poprawka.

Etykieta Copilot Autofix identyfikuje pull requesty z automatycznymi poprawkami.

1. Otwórz żądanie pobrania z sekcji alertu Powiązane żądania pobrania albo z Repozytoria>Żądania pobrania.
2. Przejrzyj proponowaną zmianę na karcie Pliki we wszystkich plikach, których dotyczy problem.
3. Edytuj zmianę, jeśli chcesz dopasować styl kodu, konwencje nazewnictwa lub wymagania dotyczące projektu.
4. Zatwierdź i sfinalizuj pull request w ramach standardowego procesu przeglądu.

Po scaleniu pull requestu uruchom odpowiedni skaner na scalonej gałęzi docelowej. Copilot Autofix nie uruchamia tego skanowania po połączeniu.

Samo scalenie pull requesta nie zamyka alertu. Usługa Advanced Security aktualizuje stan alertu po zakończeniu przetwarzania nowych wyników skanowania. Sprawdź, czy te wyniki nie zgłaszają już luki w zabezpieczeniach.

Rozwiązywanie problemów z funkcją Copilot Autofix

Poprawka w toku

Większość przebiegów autofiksu Copilot trwa około 2–5 minut. Czas wykonywania może się różnić w zależności od dostępnej pojemności potoku przetwarzania i złożoności zmiany. Jeśli wszystkie zadania równoległe są zajęte, pipeline pozostanie w kolejce, a alert nadal będzie wyświetlał komunikat Naprawa w toku, dopóki zasoby nie będą dostępne.

Żądanie, które pozostaje w stanie oczekiwania, zanim potok zostanie umieszczony w kolejce, kończy się niepowodzeniem po 30 minutach. Potok przetwarzania znajdujący się w kolejce lub uruchomiony ma limit czasu wynoszący dwie godziny. Alert może przestać aktualizować się automatycznie przed osiągnięciem limitu czasu po stronie backendu. Jeśli alert pozostanie w toku:

1. Odśwież stronę szczegółów alertu.
2. Jeśli polecenie Wyświetl przebieg jest dostępne, otwórz przebieg potoku i sprawdź, czy jest on w kolejce, czy uruchomiony.
3. Poczekaj, aż żądanie osiągnie stan powodzenia lub niepowodzenia. Nie przesyłaj innego żądania, gdy istniejące żądanie jest aktywne.
4. Jeśli żądanie nie powiedzie się, przejrzyj komunikat o błędzie i wybierz pozycję Ponów próbę naprawy po rozwiązaniu problemu.

Utworzono pull request, ale nie połączono go z alertem

Żądanie ściągnięcia można utworzyć pomyślnie, zanim pojawi się ono w obszarze Powiązane żądania ściągnięcia. Odśwież stronę szczegółów alertu. Jeśli żądanie ściągnięcia zmian nadal nie jest połączone, wybierz Repos>Żądania ściągnięcia i poszukaj:

• Etykieta Copilot Autofix.
• Gałąź źródłowa rozpoczynająca się od copilot-autofix/.
• Tytuł lub opis pull request, który odwołuje się do alertu.

Przejrzyj i scal żądanie ściągnięcia za pośrednictwem normalnego przepływu pracy żądania ściągnięcia, nawet jeśli link nie jest wyświetlany w alercie.

Operacje na repozytorium lub pull request kończą się niepowodzeniem

Copilot Autofix wykonuje płytkie klonowanie gałęzi skojarzonej z ostrzeżeniem. Nie inicjuje modułów podrzędnych usługi Git. Tworzy gałąź copilot-autofix/... o unikatowej nazwie, wypycha wygenerowaną zmianę i otwiera pull request skierowany do gałęzi alertu.

Użyj opcji Wyświetl przebieg ze stanu niepowodzenia alertu, aby sprawdzić dzienniki potoku. W poniższej tabeli wymieniono typowe przyczyny i akcje:

Poprawka została wygenerowana, ale nie można było jej zatwierdzić ani przesłać

Copilot Autofix używa adresu e-mail noreply@dev.azure.com jako adresu e-mail autora commitu. Jeśli zasady weryfikacji adresu e-mail autora commitu nie zezwalają na ten adres, Copilot Autofix może wygenerować zmianę w kodzie, ale nie może utworzyć commitu ani wypchnąć zmian, aby utworzyć pull request.

Widok szczegółów alertu wyświetla błąd, który wskazuje adres e-mail autora zablokowanego commitu.

Dodaj noreply@dev.azure.com do dozwolonych wzorców adresów e-mail w zasadach weryfikacji adresu e-mail autora commitu:

1. Wybierz ustawienia projektu>Repozytoria.
2. Wybierz pozycję Wszystkie repozytoria , aby zaktualizować zasady na poziomie projektu lub wybierz repozytorium zawierające zasady.
3. Wybierz pozycję Zasady.
4. W obszarze Zasady repozytorium znajdź pozycję Zatwierdzanie weryfikacji wiadomości e-mail autora.
5. Dodaj noreply@dev.azure.com do dozwolonych wzorców poczty e-mail.
6. Wróć do ostrzeżenia i wybierz pozycję Ponów próbę naprawy.

Uruchomienie kończy się niepowodzeniem

Jeśli uruchomienie Copilot Autofix nie może zostać ukończone, alert wyświetla wyraźny stan niepowodzenia, dzięki czemu można szybko zobaczyć, że uruchomienie się nie powiodło. Ze stanu niepowodzenia możesz ponowić próbę uruchomienia, aby wygenerować nową poprawkę.

Uruchomienie może zakończyć się niepowodzeniem z przyczyn przejściowych lub gdy uruchomienie nie powoduje zmiany kodu do użycia. Ponów próbę uruchomienia, aby ponownie wygenerować poprawkę.

Ostrzeżenie pozostaje otwarte po scaleniu poprawki

Scalanie pull requestu autofiksu nie zamyka samego alertu. Usługa Advanced Security potrzebuje nowych wyników ze skanera, który zgłosił znalezisko. Jeśli alert pozostanie otwarty:

1. Sprawdź, czy pull request został scalony do tej samej gałęzi, w której wykryto alert.
2. Upewnij się, że skanowanie kodu lub skanowanie zależności zostało odpowiednio uruchomione po scaleniu i przeanalizowało scalone zatwierdzenie.
3. Upewnij się, że usługa Advanced Security przetworzyła zaktualizowane wyniki dla poprawnego repozytorium i gałęzi.
4. Przejrzyj nowe wyniki, aby sprawdzić, czy luka w zabezpieczeniach nie została już wykryta.
5. Jeśli luka w zabezpieczeniach jest nadal obecna, zaktualizuj poprawkę i ponownie uruchom odpowiedni skaner.

Poprawka jest niedostępna

Copilot Autofix nie może wygenerować poprawki dla każdego alertu. Poprawka może być niedostępna, gdy:

• Ten typ alertu nie jest obecnie obsługiwany przez Copilot Autofix.
• Copilot określa, że alert może być fałszywie dodatni.
• Copilot Autofix uruchamia się, ale nie wprowadza żadnych zmian w kodzie. W takim przypadku nie jest tworzona żadna gałąź ani pull request.

Jeśli Copilot Autofix stwierdzi, że alert może być fałszywie dodatni, i nie wprowadzi żadnych zmian, widok szczegółów alertu pokaże wynik. Możesz przejrzeć przebieg lub ponowić próbę naprawienia.

Jeśli poprawka jest niedostępna, skorzystaj ze wskazówek alertu dotyczących naprawy, aby rozwiązać ten problem ręcznie. Odrzuć alert dopiero po przejrzeniu wyniku i ustaleniu odpowiedniej przyczyny odrzucenia. Aby uzyskać więcej informacji, zobacz Szczegóły alertu skanowania kodu i Szczegóły alertu skanowania zależności.

Powiązane artykuły

• Konfigurowanie skanowania kodu
• Rozwiązywanie problemów ze skanowaniem kodu
• Konfigurowanie skanowania zależności
• Rozwiązywanie problemów ze skanowaniem zależności
• Konfigurowanie funkcji zabezpieczeń zaawansowanych GitHub