26/09/2026 · VietTechies · Biên tập
Một hướng dẫn của Gitee mô tả kiểm tra mã có AI hỗ trợ như một quy trình kỹ thuật dành cho Pull Request, kết hợp quét tự động và đề xuất khắc phục với phân tích tĩnh truyền thống cùng đánh giá của con người. Bài viết xem cách tiếp cận này là phần bổ trợ thực tế cho công cụ SAST, thay vì thay thế kỹ sư bảo mật.
AI phù hợp ở đâu
Theo hướng dẫn, công cụ kiểm tra bằng AI có thể phân tích toàn bộ kho mã hoặc các thay đổi tăng dần, lần theo luồng dữ liệu, nhận diện lỗ hổng có thể xảy ra và tạo các phát hiện có cấu trúc, kèm vị trí và đánh giá tác động. Một số công cụ còn có thể tạo đề xuất vá lỗi hoặc mở Pull Request cho bản sửa được đề xuất. Phân tích ngữ nghĩa này hữu ích trong những trường hợp công cụ quét dựa trên luật khó quan sát sự tương tác giữa các thành phần hoặc logic nghiệp vụ.
Quy trình dựa trên Pull Request
Với các dự án trên Gitee, quá trình tích hợp được mô tả bắt đầu bằng một Webhook cho sự kiện pull_request, kích hoạt kiểm tra khi Pull Request được tạo hoặc cập nhật. Nhóm phát triển có thể điều chỉnh độ sâu quét theo mức rủi ro của dự án, xem các phát hiện trong phần bình luận của Pull Request và quyết định liệu vấn đề đã được xác nhận có cần chặn việc hợp nhất hay không. Xung đột hợp nhất vẫn phải được nhà phát triển xử lý cục bộ trước khi gửi lại thay đổi đã cập nhật.
Bằng chứng và giới hạn
Hướng dẫn dẫn một nghiên cứu RepoAudit, trong đó công cụ đạt độ chính xác 78,43% khi phát hiện 40 lỗ hổng trong 15 dự án thực tế, với chi phí trung bình 2,54 USD mỗi dự án. Đây là số liệu được nghiên cứu công bố, không phải kết quả từ một thử nghiệm độc lập của Signal Titans. Bài viết cũng cho biết các kho mã lớn vẫn khó được quét đầy đủ do hạn chế về ngữ cảnh và năng lực tính toán, trong khi các đường dẫn lỗ hổng do AI tạo ra cần được kiểm tra bằng các phương pháp xác định và được con người xác nhận.
Vẫn cần biện pháp kiểm soát bảo mật
Bản thân quy trình này cũng tạo ra rủi ro. Việc gửi mã nguồn đến một dịch vụ kiểm tra làm phát sinh câu hỏi về quyền riêng tư và tuân thủ, còn tấn công chèn chỉ dẫn đối kháng có thể nhắm vào các công cụ đọc kho mã hoặc gọi terminal. Vì vậy, hướng dẫn khuyến nghị một lớp sàng lọc ưu tiên AI, sau đó là đánh giá của con người; đồng thời áp dụng kiểm soát quyền truy cập ở cấp tệp và tính năng, cũng như tiếp tục điều chỉnh dựa trên các trường hợp báo động giả và bỏ sót phát hiện.
Ảnh minh họa do AI tạo.