Agentic Autofix, Bağımlılık Açıklarına PR Açıyor
Açığın nerede olduğunu bilmek onu kapatmaya yetmiyor; gereken şey, ekibin kodlama standartlarına uyan ve kod tabanının geri kalanıyla uyumlu çalışan somut bir değişiklik. GitHub Advanced Security for Azure DevOps kapsamındaki Copilot Autofix artık agentic bir temel üzerinde çalışıyor, bağımlılık açıkları ve üçüncü taraf araçlardan gelen code scanning uyarıları için de düzeltme üretebiliyor. Yeniliğin kapsamı, etkinleştirme adımları ve triyaj tarafında devreye giren yeni sinyaller aşağıda.
Autofix artık ajan tabanlı çalışıyor
Yeni akışta ele almak istediğiniz uyarıyı seçiyorsunuz, Autofix de arka planda, mevcut Azure DevOps iş akışınızın içinde bir değişiklik önerisi hazırlıyor. Neyin merge edileceğine dair son karar yine ekipte.
Agentic Autofix, Copilot coding agent üzerinden repository bağlamını keşfediyor, önerdiği değişikliği geri döndürmeden önce gözden geçirip rafine edebiliyor. Önceki yaklaşımdan temel farkı da burada: öneri, dosyayı hiç görmeden üretilmiş tek seferlik bir yama olmaktan çıkıyor.
Custom instructions ve skills desteği
Ekiplerin çoğunda paylaşılan bir doğrulama yardımcısı (validation helper) ya da paket güncellemeleri için izlenmesi gereken belirli bir prosedür vardır. Bu kararları yok sayan bir düzeltme önerisi size yine iş bırakır.
Agentic Autofix, desteklenen .github veya .agents konumlarındaki custom instructions ve skills tanımlarını kullanabiliyor. Talimatlar ajanı sizin onayladığınız input-validation helper’ını kullanmaya yönlendirebilir; bir dependency-update skill’i ise paket güncelleme prosedürünüzü ve uyumluluk kontrollerinizi tarif edebilir.
Microsoft’un vurguladığı nokta şu: talimatlar ve skills, ajanın değişiklikleri repoya nasıl oturtacağına dair ek bağlam sağlıyor ve elle yapılan özel düzeltme (bespoke remediation) ihtiyacını azaltıyor.
CodeQL dışındaki tarayıcılar da kapsamda
Autofix daha önce yalnızca sınırlı bir CodeQL kural kümesi için düzeltme üretebiliyordu. Artık farklı bir code scanning aracı kullanıyorsanız, o araçtan gelen uyarılar için de Autofix talep edebiliyorsunuz. Tek bir tarayıcıya bağımlı kalmadan aynı düzeltme akışını kullanmak isteyen ekipler açısından kapsam somut biçimde genişlemiş oluyor.
Bağımlılık açıkları için düzeltme üretimi
Dependency scanning, güvenlik açığı barındıran paketleri tespit ediyor ve düzeltme rehberliği sunuyor, ama o rehberliği gerçek bir değişikliğe dönüştürmek yine geliştiricinin işiydi. Autofix artık bu bulgular için de bir düzeltme üretim akışı sunuyor; kapsam statik analiz sonuçlarıyla sınırlı kalmıyor.
Akış şöyle işliyor:
- Desteklenen bir bağımlılık güvenlik açığı uyarısını açın.
- Generate fix seçeneğini kullanın.
- Agentic Autofix, önerilen değişikliği ve açıklamasını içeren bir pull request açabilir.
- Bu PR’ı, diğer kod değişiklikleriniz için kullandığınız aynı inceleme süreciyle değerlendirirsiniz.
Hangi bağımlılık uyarısı önce ele alınmalı?
Severity değeri tek başına, bir açığın gerçekte ne kadar istismar edilebilir olduğunu ya da projenizin o bağımlılığı nasıl kullandığını anlatmıyor. Advanced Security bu boşluğu iki sinyalle kapatıyor: EPSS ve development dependency tespiti.
EPSS yüzdelik dilimi
Exploit Prediction Scoring System (EPSS), bir açığın vahşi doğada istismar edilme olasılığını tahmin ediyor. Veri mevcut olduğunda Advanced Security, bağımlılık uyarısı için EPSS yüzdelik dilimini (percentile) gösteriyor. Yüksek yüzdelik dilim, tahmin edilen istismar olasılığı açısından görece daha yüksek bir sıralama anlamına geliyor. Bu değerin, birinin sizin uygulamanıza saldırma olasılığını vermediğini akılda tutmak gerekiyor.
Development ve runtime ayrımı
EPSS’in yanında, development dependency tespiti desteklenen ekosistemlerde yalnızca geliştirme aşamasında kullanılan bağımlılıkları runtime bağımlılıklarından ayırıyor. Bağımlılığın rolünü anlamak için Development rozetini ve Scope filtresini kullanabilirsiniz.
Önceliklendirme için önerilen yaklaşım, Runtime scope filtresini yüksek bir EPSS yüzdelik dilim aralığıyla birleştirip odaklanmış bir triyaj turu yapmak. Sonrasında severity değerini ve uygulamanızın maruz kalma durumunu değerlendirip Autofix’e yönlendireceğiniz desteklenen uyarıyı seçiyorsunuz.
Etkinleştirme ve dikkat edilmesi gerekenler
Agentic Autofix, organization, project veya repository seviyesinde tek bir düğmeyle hem dependency hem de code scanning uyarıları için açılabiliyor. Ardından repository seviyesinde, hangi uyarılar için Autofix almak istediğinizi tek tek seçiyorsunuz.
Microsoft’un paylaştığı operasyonel ayrıntılar şunlar:
- Agentic Autofix’in kullanıma açılması iki-üç haftaya yayılacak şekilde kademeli ilerliyor.
- Organizasyonunuz limited public preview kapsamındaysa, desteklenen bir dependency veya code scanning uyarısından düzeltme talep edebilirsiniz.
- Merge etmeden önce tüm diff’i inceleyin, build ve testlerinizi çalıştırın, değişiklikleri doğrulayın.
- Düzeltme üretmek AI credits tüketiyor. Autofix’i etkinleştirmek, otomatik olarak düzeltme üretildiği anlamına gelmiyor.
- Her talep bir düzeltmeyle sonuçlanmıyor; AI üretimi öneriler doğruluk açısından gözden geçirilmeli.
- Agentic Autofix’in public preview’da erişilebilir olması Kasım ayı olarak belirtiliyor.
Pratikte ortaya çıkan şey, açık listesini kendi kendine temizleyen bir sistemden çok, triyajı daha iyi sinyallerle yapan ve seçtiğiniz uyarılar için inceleme gerektiren PR üreten bir akış. Düzeltmenin kalitesi de büyük ölçüde reponuzdaki talimat ve skill tanımlarının netliğine bağlı görünüyor.
Kaynaklar ve İleri Okuma
- Introducing Agentic Autofix for code and dependencies — Azure DevOps Blog (Laura Jiang)
- Dependency scanning ve uyarı önceliklendirme — Microsoft Learn
- Copilot Autofix for code security alerts — Microsoft Learn
- Azure DevOps Developer Community (geri bildirim)
- Copilot Autofix Azure DevOps’ta: Alert Yığını Bitiyor mu?
- Agentic Autofix, Copilot Memory ile Fix Kalıbını Öğreniyor
- Azure DevOps Güvenlik Taraması: Tek Tıkla Başlıyor
20+ yıl deneyimli Azure Solutions Architect. Microsoft sertifikalı bulut mimari ve DevOps danışmanı. Azure, yapay zekâ ve bulut teknolojileri üzerine Türkçe teknik içerikler üretiyor.
0 comments