GitHub的最新人工智能工具可自动修复代码漏洞

GitHub的最新人工智能工具可自动修复代码漏洞GitHub承诺，这一新系统可以修复其发现的三分之二以上的漏洞--通常开发人员无需亲自编辑任何代码。该公司还承诺，代码扫描自动修复功能将覆盖其支持语言（目前包括JavaScript、Typescript、Java和Python）中90%以上的警报类型。现在，所有GitHub高级安全（GHAS）客户都可以使用这项新功能。GitHubCopilot中的代码扫描自动修复功能GitHub在今天的公告中写道："正如GitHubCopilot为开发人员减轻了繁琐的重复性工作一样，代码扫描自动修复将帮助开发团队收回以前用于修复的时间。安全团队也将受益于日常漏洞数量的减少，这样他们就可以专注于保护业务的策略，同时跟上加快的开发步伐。"在后台，这项新功能使用了GitHub的语义分析引擎CodeQL引擎，甚至在代码执行之前就能发现代码中的漏洞。该公司在收购代码分析初创公司Semmle后，于2019年底向公众提供了第一代CodeQL，CodeQL就是在该公司孵化的。多年来，该公司对CodeQL进行了一系列改进，但有一点从未改变，那就是CodeQL只免费提供给研究人员和开源开发人员使用。现在，CodeQL成为了这款新工具的核心，不过GitHub也指出，它使用了"启发式和GitHubCopilotAPI的组合"来提出修复建议。为了生成修复及其解释，GitHub使用了OpenAI的GPT-4模型。虽然GitHub确信绝大多数自动修复建议都是正确的，但该公司并不认为"一小部分修复建议反映了对代码库或漏洞的重大误解"。...PC版：https://www.cnbeta.com.tw/articles/soft/1424420.htm手机版：https://m.cnbeta.com.tw/view/1424420.htm

自动免费查找并修复JavaScript代码中的漏洞。

自动免费查找并修复JavaScript代码中的漏洞。特性：早在你的第一行代码中就发现并修复漏洞。在你最喜欢的IDE（包括IntelliJIDEA）中，几秒钟内扫描你的JavaScript代码。保护你的应用程序的每一层，从npm包到Dockerfiles。Snyk提供优先级评分，因此你可以专注于高严重性问题。通过一键式拉动请求自动修复，用最小的升级和补丁来填充。Snyk与GitHub、GitLab、Bitbucket集成，因此你可以合并并继续前进。根据最全面的JavaScript漏洞数据库扫描你的JavaScript项目，因此你可以更快地、安全地发布你的JavaScript应用程序。免费开始使用Snyk。#工具

clash for windows爆远程代码执行高危漏洞，目前漏洞还未被修复。

clashforwindows爆远程代码执行高危漏洞，目前漏洞还未被修复。https://github.com/Fndroid/clash_for_windows_pkg/issues/3891=====clashpremium的部分功能可以指定从网上拽取的文件的路径这是该漏洞的一个很重要的一环因此不全然是cfw的问题premium应该也加以限制文件存放的目录为当前目录或其子目录

GitHub 受到自动恶意分叉攻击正在大量分发恶意代码

GitHub受到自动恶意分叉攻击正在大量分发恶意代码该恶意软件分发活动现已传播到GitHub，并扩大到至少数十万个受感染的存储库。根据安全公司Apiiro的说法，该代码下毒的活动包括以下几个步骤：克隆（clone）合法的存储库，用恶意软件加载程序感染它们，以相同的名称将更改后的文件上传到GitHub，然后对有毒的存储库进行数千次分叉（fork）和星标（star），并在社交媒体渠道、论坛和网站上推广受感染的代码库。此后，寻找有用代码的开发人员可能会发现一个被描述为有用且乍一看似乎合适的代码库，但他们的数据却被运行恶意Python代码和二进制可执行文件的隐藏负载窃取。以上策略均可自动化部署，根据扫描结果粗略估计至少有数十万个恶意代码库被生成，即使只有较小比例在审核过程中幸存，数量也有上千个。研究人员表示，GitHub为这种恶意软件分发链提供了有效方法，因为它支持自动生成帐户和存储库、友好的API和软速率限制以及其庞大的规模。因此GitHub当前除了移除被举报的仓库外，并没有更加有效的方法预防该攻击过程。——

亚马逊开放的一款 AI 编程助手：CodeWhisperer，可集成到 VSCode 和 IntelliJ IDEA 等代码编辑

亚马逊开放的一款AI编程助手：，可集成到VSCode和IntelliJIDEA等代码编辑器上使用，个人版对所有开发者免费开放。主要特性如下：-经过数十亿行代码的训练，可根据注释和代码，实时生成代码建议；-自动标记、过滤类似于开源训练数据的代码建议；-自动扫描与修复代码漏洞；-支持15中主流编程语言，多种IDE工具。自去年预览版发布以来，CodeWhisperer帮助不少开发者可以专注和高效地编写代码，避免因查找资料而中断工作流程。该工具可用于处理日常耗时的琐碎任务、处理不熟悉的API或SDK、正确且有效地使用AWSAPI，以及其他常见编码场景，如读写文件、图像处理、编写单元测试等。CodeWhisperer有两个版本，个人版和专业版。个人版免费开放，使用Email即可注册使用，专业版增加了如SSO和IAM身份中心集成、引用代码建议的策略控制，以及安全扫描等管理功能。