Por que a extensão VS Code da NotHoly para revisão

Revisar código em busca de segurança num assistente genérico vai por dois caminhos, ambos ruins. Ele hesita quando você pede para achar o bug explorável ou escrever a prova de que o bug é real, ou você cola uma função num chat e perde os imports, o chamador e o resto do arquivo que decidem se o bug é alcançável. A extensão da NotHoly revisa o arquivo e o diff onde eles vivem, no VS Code, Cursor, Windsurf ou VSCodium, e o modelo por trás aceita a questão de segurança. O caso de uso de revisão de código tem o fluxo; aqui é sobre a extensão.

#Revise o arquivo ou o diff

Abra um arquivo e rode Review this file. O agente o lê, com qualquer edição não salva, e lista o que achou no painel Problems, cada item um ponto para pular. Review changes manda o seu git diff, as mudanças não preparadas ou as preparadas quando não há nada não preparado, então um pull request ganha uma passada de segurança antes de sair do seu branch. Explain selection pega um bloco que você marca, e Investigate a CVE busca o registro e o explica no chat. O modelo não para para discutir se ler em busca de uma vulnerabilidade é permitido, porque esse é o trabalho de quem revisa. A referência de comandos lista todos. O seletor de modelos lista o catálogo com o preço de cada modelo, e quando uma promoção deixa um deles grátis para a sua conta ele mostra uma tag free com o preço de tabela riscado. Cada resposta mostra as contagens de tokens, e as últimas trinta conversas ficam nesta máquina em History.

#De um achado a um teste e uma regra

Um achado é mais útil quando deixa algo para trás. Write a regression test for the selection pede ao agente um teste que pegaria o bug de segurança no código que você escolheu, para a correção continuar valendo. Write a detection rule for the selection devolve uma regra Sigma, Semgrep ou YARA para o padrão, para o mesmo erro ser pego em outro lugar. Apply suggested fix abre a mudança como um diff com Accept e Reject, e um turno que escreveu arquivos termina com Undo changes, que põe de volta o que escreveu. Você lê cada edição e cada comando num cartão antes de rodar. Um bloco de shell no chat traz Run in terminal, que põe o comando no seu prompt e deixa o Enter para você, então nada roda de surpresa, e anexos funcionam só num workspace confiável.

#Fica no seu editor, com guardas

A extensão respeita o Workspace Trust. Numa pasta não confiável o agente não tem ferramentas e só responde em texto, então não lê arquivos nem roda comandos até você confiar na pasta. Ler ou escrever fora do workspace pergunta primeiro, e caminhos de credencial como .env, .ssh e .aws fazem você digitar o nome do arquivo de volta, enquanto o grep os pula. Depois de ler um arquivo fora do workspace ou uma credencial, uma busca web ou na base de conhecimento mostra a consulta antes de sair da sua máquina. Um comando que você aprova roda no seu shell, na pasta do workspace, com as suas permissões e sem a sua chave da NotHoly no ambiente. A chave em si fica no cofre de segredos do editor, e para CI você a põe no ambiente.

code --install-extension notholy-vscode-latest.vsix

#Onde não encaixa

Não é um analisador estático. O modelo pode perder um bug real e marcar um que não existe, então uma revisão limpa não é garantia e um achado é uma pista para confirmar. O Zero Questions roda edições e comandos sem perguntar e pode drenar o seu saldo, então é para um sandbox, não para um repo de cliente. Num workspace não confiável as ferramentas de revisão ficam desligadas de propósito, e os três editores que não são o VS Code não são testados do nosso lado. A extensão precisa de login, então está ligada a uma conta e a um e-mail, e o modelo pode errar como qualquer modelo.

Mantenha a revisão no editor, ao lado do código que dá o contexto. Instale pela página da extensão, depois ponha saldo em preços.