GitHub Security Lab nutzt KI für automatisierte Schwachstellen-Triage

GitHub Security Lab führt KI-gestützte Schwachstellen-Triage ein

Das GitHub Security Lab hat einen KI-gesteuerten Framework entwickelt, um die Triage von Sicherheitswarnungen zu automatisieren. Dadurch werden False Positives deutlich reduziert und die Effizienz gesteigert. Mithilfe des GitHub Security Lab Taskflow Agent hat das Team seit August etwa 30 reale Schwachstellen identifiziert, indem große Sprachmodelle (LLMs) zur Analyse von CodeQL-generierten Warnungen eingesetzt wurden.

Wie KI die Schwachstellen-Triage verbessert

Die traditionelle Schwachstellen-Triage ist oft repetitiv, wobei False Positives durch Muster entstehen, die für menschliche Auditoren leicht erkennbar sind, aber schwer in statischen Analysetools abgebildet werden können. LLMs sind besonders gut darin, diese "unscharfen" Muster zu erkennen, was sie ideal für die Automatisierung von Triage-Workflows macht.

Der Taskflow Agent-Framework verwendet YAML-basierte Taskflows, um komplexe Triage-Prozesse in kleinere, handhabbare Aufgaben zu unterteilen. Jede Aufgabe ist darauf ausgelegt:

• Code-Scanning-Ergebnisse abzurufen und zu analysieren
• Warnungen auf häufige False-Positive-Muster zu prüfen
• Detaillierte Fehlerberichte mit präzisen Code-Referenzen zu generieren
• Ergebnisse zu validieren, bevor GitHub Issues erstellt werden

Durch diese strukturierte Vorgehensweise werden Halluzinationen (falsche Schlussfolgerungen) minimiert und konsistente Ergebnisse sichergestellt.

Technische Umsetzung

Taskflow-Architektur

Taskflows sind in folgende Phasen unterteilt:

1. Informationssammlung – Erfasst relevante Daten (z. B. Workflow-Trigger, Berechtigungen, Sanitizer) und speichert sie in strukturierten Notizen.
2. Audit-Phase – Wendet KI-gestützte Prüfungen an, um False Positives herauszufiltern (z. B. deaktivierte Workflows, Berechtigungsbeschränkungen).
3. Berichtsgenerierung – Fasst Ergebnisse in einem standardisierten Fehlerbericht mit Code-Snippets und Zeilenreferenzen zusammen.
4. Validierung & Issue-Erstellung – Stellt sicher, dass Berichte vollständig sind, bevor GitHub Issues zur weiteren Prüfung eröffnet werden.

Wichtige Funktionen

• Modulares Design – Aufgaben sind unabhängig, reduzieren Kontextfenster-Beschränkungen und verbessern die Debugging-Fähigkeit.
• Asynchrone Verarbeitung – Unterstützt Batch-Operationen für die Triage großer Mengen von Warnungen.
• Integration mit MCP-Servern – Überträgt deterministische Aufgaben (z. B. API-Aufrufe) an traditionelle Programmierung, um die Genauigkeit zu erhöhen.
• Wiederverwendbare Komponenten – Prompts und Aufgaben können in verschiedenen Triage-Workflows geteilt werden.

Ergebnisse und Auswirkungen

Seit der Einführung hat das GitHub Security Lab diese Taskflows zur Triage von Warnungen für folgende Bereiche eingesetzt:

• GitHub Actions (z. B. Checkout von nicht vertrauenswürdigem Code, Code-Injection)
• JavaScript/TypeScript (z. B. clientseitiges Cross-Site Scripting über js/xss)

Das System hat sich als effektiv erwiesen in:

• Reduzierung von False Positives durch Erkennung häufiger Ablehnungsmuster (z. B. deaktivierte Workflows, Berechtigungsprüfungen).
• Steigerung der Effizienz durch Automatisierung repetitiver Prüfungen (z. B. Trigger-Ereignisse, Sanitisierung).
• Verbesserung der Genauigkeit durch strukturierte Prompts und Validierungsschritte.

Empfehlungen für Sicherheitsteams

1. Modulare KI-Workflows einführen – Unterteilen Sie die Triage in diskrete, wiederverwendbare Aufgaben, um die Skalierbarkeit zu verbessern.
2. LLMs mit traditionellen Tools kombinieren – Nutzen Sie LLMs für Mustererkennung, während deterministische Aufgaben an statische Analysetools oder APIs ausgelagert werden.
3. Open-Source-Frameworks nutzen – Die Repositories seclab-taskflow-agent und seclab-taskflows sind öffentlich verfügbar und können angepasst werden.
4. KI-Ausgaben validieren – Überprüfen Sie immer LLM-generierte Berichte, bevor Maßnahmen aufgrund von Schwachstellen ergriffen werden.
5. Ressourcenverbrauch überwachen – Die Ausführung von Taskflows kann erhebliche LLM-Kontingente verbrauchen; planen Sie entsprechend.

Zukunftsperspektiven

Das GitHub Security Lab arbeitet weiterhin an der Verfeinerung der KI-gestützten Triage und führt Experimente in den Bereichen Code-Auditing und Schwachstellen-Suche durch. Sicherheitsteams werden ermutigt, das Open-Source-Framework zu erkunden und an ihre Workflows anzupassen.

Weitere Details finden Sie im GitHub Security Lab Taskflow Agent Repository.