למה תוסף ה-VS Code של NotHoly לסקירת קוד

סקירת קוד לאבטחה בעוזר כללי הולכת בשתי דרכים, שתיהן רעות. הוא מהסס כשאתם מבקשים למצוא את הבאג הנצל או לכתוב את ההוכחה שהבאג אמיתי, או שאתם מדביקים פונקציה לצ׳אט ומאבדים את ה-imports, את הקורא ואת שאר הקובץ שקובעים אם הבאג בר-השגה. התוסף של NotHoly סוקר את הקובץ ואת ה-diff במקום שבו הם נמצאים, ב-VS Code, Cursor, Windsurf או VSCodium, והמודל מאחוריו מקבל את שאלת האבטחה. מקרה השימוש של סקירת קוד מכיל את הזרימה; כאן מדובר בתוסף.

#סקרו את הקובץ או את ה-diff

פתחו קובץ והריצו Review this file. הסוכן קורא אותו, עם כל עריכה לא שמורה, ומפרט מה מצא בלוח Problems, כל פריט מקום לקפוץ אליו. Review changes שולח את ה-git diff שלכם, את השינויים הלא מבוימים או את המבוימים כשאין כלום לא מבוים, כך ש-pull request מקבל מעבר אבטחה לפני שהוא עוזב את ה-branch שלכם. Explain selection לוקח בלוק שאתם מסמנים, ו-Investigate a CVE מושך את הרשומה ומסביר אותה בצ׳אט. המודל לא נעצר כדי להתווכח אם קריאה בחיפוש חולשה מותרת, כי זו העבודה של מי שסוקר. מדריך הפקודות מפרט את כולן. בורר המודלים מפרט את הקטלוג עם המחיר של כל מודל, וכשמבצע הופך אחד מהם לחינמי לחשבון שלכם הוא מציג תגית free עם מחיר המחירון מחוק. כל תשובה מציגה את ספירות הטוקנים, ושלושים השיחות האחרונות נשארות במכונה הזאת ב-History.

#מממצא לבדיקה ולחוקה

ממצא מועיל יותר כשהוא משאיר משהו אחריו. Write a regression test for the selection מבקש מהסוכן בדיקה שתתפוס את באג האבטחה בקוד שבחרתם, כדי שהתיקון יישאר מתוקן. Write a detection rule for the selection מחזיר חוקת Sigma, Semgrep או YARA לתבנית, כדי שאותה טעות תיתפס במקום אחר. Apply suggested fix פותח את השינוי כ-diff עם Accept ו-Reject, ותור שכתב קבצים מסתיים ב-Undo changes, שמחזיר את מה שנכתב. אתם קוראים כל עריכה וכל פקודה בכרטיס לפני שהם רצים. בלוק shell בצ׳אט נושא Run in terminal, ששם את הפקודה ב-prompt שלכם ומשאיר לכם את Enter, כך ששום דבר לא רץ בהפתעה, וצירופים עובדים רק ב-workspace אמין.

#זה נשאר בעורך שלכם, עם שומרים

התוסף מכבד את ה-Workspace Trust. בתיקייה לא אמינה לסוכן אין כלים והוא עונה רק בטקסט, אז הוא לא קורא קבצים ולא מריץ פקודות עד שתסמכו על התיקייה. קריאה או כתיבה מחוץ ל-workspace שואלת קודם, ונתיבי credential כמו .env, .ssh ו-.aws מחייבים אתכם להקליד את שם הקובץ בחזרה, בעוד grep מדלג עליהם. אחרי שנקרא קובץ מחוץ ל-workspace או credential, חיפוש web או בבסיס הידע מציג את השאילתה לפני שהיא עוזבת את המכונה שלכם. פקודה שאתם מאשרים רצה ב-shell שלכם, בתיקיית ה-workspace, עם ההרשאות שלכם ובלי מפתח ה-NotHoly בסביבה. המפתח עצמו יושב במאגר הסודות של העורך, ול-CI אתם מגדירים אותו בסביבה.

code --install-extension notholy-vscode-latest.vsix

#איפה זה לא מתאים

זה לא מנתח סטטי. המודל יכול לפספס באג אמיתי ולסמן אחד שלא קיים, אז סקירה נקייה אינה ערובה וממצא הוא רמז לאימות. Zero Questions מריץ עריכות ופקודות בלי לשאול ויכול לרוקן את היתרה שלכם, אז הוא לסביבת sandbox, לא ל-repo של לקוח. ב-workspace לא אמין כלי הסקירה כבויים בכוונה, ושלושת העורכים שאינם VS Code לא נבדקים אצלנו. התוסף צריך login, אז הוא קשור לחשבון ולאימייל, והמודל יכול לטעות כמו כל מודל.

השאירו את הסקירה בעורך, ליד הקוד שנותן את ההקשר. התקינו מעמוד התוסף, ואז טענו יתרה בתמחור.