AI Code Completion by DeepCode

הסקירה

סריקת הקוד מתחילה מיד כששומרים קובץ בתוך סביבת הפיתוח או פותחים pull request במאגר. המנוע סורק את זרימת המידע באפליקציה, מזהה חולשות אבטחה כמו הזרקות SQL ופגיעויות Cross-Site Scripting, ומציג שורות מתוקנות בלחיצת כפתור אחת. הוא לא מתפקד כעוזר כתיבה שמשלים לולאות או פונקציות עסקיות, אלא כבודק אבטחה סטטי שמנתח את הסיכונים שלכם בזמן אמת. הבסיס הטכנולוגי משלב מודלי שפה יחד עם ניתוח סמלי שנשען על עשרים וחמישה מיליון תרחישי זרימת נתונים.

הוא בודק קוד שנכתב בידי אנשים וקוד שנפלט ממחוללי בינה מלאכותית.

מרבית הכלים בשוק פשוט מריצים בדיקות ביטויי רגולר או שולחים קטעי קוד לפרומפט גנרי ומקווים לטוב. התוצאה הרגילה במקרים כאלה היא הזיות, התראות שווא ותיקונים ששוברים את הקוד הקיים. כאן שילבו מודלים ייעודיים עם מאגר של שלושים וחמישה אלף חולשות ותיקונים שנבדקו בידי חוקרים אנושיים, לצד אימון על פרויקטים ברישיון קוד פתוח מתירני בלבד. לפי הנתונים שלהם, מנגנון התיקון האוטומטי פוגע בדיוק של שמונים וחמישה אחוזים. זה שווה את זה רק אם הצוות שלכם באמת מתכוון ליישם את התיקונים בזמן העבודה השוטפת ולא לצבור דוחות בארכיון.

כמה זה עולה במספרים

השימוש מתחיל במסלול חינמי שלא דורש כרטיס אשראי, אבל המגבלות שלו חותכות מהר. בחשבון ללא עלות מקבלים מאה בדיקות קוד SAST בחודש, מאתיים בדיקות של ספריות קוד פתוח, ושלוש מאות בדיקות תשתית קוד. זה מתאים בעיקר למפתחים בודדים שרוצים לבדוק פרויקט צדדי קטן. ברגע שחורגים מהמספרים האלה או שעובדים בצוות מסודר, מגיעים למסלול Team. העלות שם מתחילה ב־25 דולר לחודש עבור כל מפתח תורם, והיא מעלה את תקרת הסריקות לאלף בדיקות קוד בחודש.

המדרגות הגבוהות יותר כבר דורשות התחייבות כבדה בהרבה. חבילת Ignite מיועדת לחברות עם פחות מחמישים מפתחים, ומחירה מזנק ל־1,260 דולר לשנה לכל מפתח פעיל. המסלול הזה מעניק בדיקות קוד ללא הגבלה, חוקי אבטחה מותאמים אישית ותיעדוף סיכונים לפי חשיפה בפועל, כאשר מעליו קיים מסלול Enterprise במחיר מותאם אישית שסגור מאחורי אנשי מכירות. החישוב של תורם מתבסס על מי שביצע קומיט למאגר פרטי בתשעים הימים האחרונים, כך שצוותים לא יכולים לחלוק משתמש בודד.

החשבון תופח מהר מאוד.

• מסלול חינםקיים, מוגבל במבחנים
• מחיר בסיס25 דולר למפתח
• שפת ממשקאנגלית בלבד

למי זה מתאים ובדיקות נדרשות

הכלי מתאים לצוותי הנדסה שמריצים צינורות עבודה מודרניים ב־GitHub או Bitbucket ורוצים לעצור בעיות עוד לפני שלב ה־build. אם אתם בונים מערכות רגישות ומחזיקים תקציב אבטחה מוגדר, הדיוק של המערכת הזו יחסוך שעות של חקירת התראות סרק בהשוואה לכלים ישנים. לא הייתי משתמש בזה לפרויקטים עצמאיים פשוטים או לאתרים בסיסיים, כי סריקות האבטחה והמחיר של 25 דולר לראש הם הוצאה מיותרת במקומות שבהם משטח התקיפה אפסי ואין חובת עמידה בתקנים.

הממשק, ההסברים והחוקים מנוסחים באנגלית בלבד. אין שום התאמה מקומית לשוק הישראלי, וזה לא משפיע לרעה על קריאת תחביר של קוד, אבל דורש שליטה טכנית מלאה באנגלית מכל מפתח שמקבל התראה. מה שבאמת מפריע כאן הוא שחלק מהיכולות, כמו תכונת התיקון האוטומטי במסלול החינמי, מסומנות כהטבה לזמן מוגבל, ומודל החיוב לפי מפתח שמבצע קומיט עלול להקפיץ לכם את החשבון החודשי בלי התראה אם עובדים מזדמנים ייגעו בריפו.

אי אפשר לחלוק משתמשים כדי לחסוך.