GitHub Copilot เพิ่ม /security-review: สแกนช่องโหว่ในโค้ดก่อน merge ได้จากแอปโดยตรง

GitHub เปิด public preview คำสั่ง /security-review ใน GitHub Copilot app โดยนำความสามารถตรวจช่องโหว่ด้วย AI ที่มีใน Copilot CLI มาไว้ใน workflow การเขียนโค้ดประจำวัน

คำสั่งนี้ตรวจเฉพาะ changes ที่กำลังทำอยู่ แล้วสรุป finding ที่มี confidence สูง พร้อม severity และคำแนะนำที่สามารถนำไปแก้และตรวจซ้ำได้ทันที

GitHub ระบุว่าระบบถูกปรับให้จับช่องโหว่สำคัญ เช่น injection, cross-site scripting, insecure data handling, path traversal และ weak cryptography และเปิดให้ Copilot Free, Pro, Business และ Enterprise ใช้ระหว่างพรีวิว

นักพัฒนาเดี่ยวและทีมเล็กมักไม่มี AppSec reviewer ประจำ การตรวจระหว่างเขียนช่วยลดโอกาสที่ช่องโหว่พื้นฐานจะหลุดไปถึง pull request หรือ production

อย่างไรก็ตาม AI security review เป็นเพียงชั้นเสริม ไม่ได้แทน CodeQL, Dependabot, secret scanning, tests และการตรวจโดยคน เพราะอาจพลาด logic flaw หรือรายงาน false positive ได้

ทีมไทยสามารถเพิ่ม /security-review ก่อน commit หรือก่อนเปิด PR เป็นขั้นตอนบังคับสำหรับไฟล์ auth, payment, upload, database query และ API ที่แตะข้อมูลผู้ใช้

ผลตรวจควรถูกบันทึกพร้อมหลักฐาน path, line, severity, confidence และ test case เพื่อให้ reviewer ยืนยัน ไม่ควรแก้ตามคำแนะนำ AI แล้ว merge ทันทีโดยไม่รัน test

ข่าวนี้แล้วต้องทำอะไรต่อ: ลองรัน /security-review กับ branch ปัจจุบัน แล้วเลือก finding ระดับสูงสุดหนึ่งรายการ ตรวจซ้ำด้วย CodeQL หรือ test exploit ก่อนแก้

สร้าง security checklist ก่อน merge ที่รวม AI review, dependency scan, secret scan, auth test และ human approval เพื่อไม่พึ่งเครื่องมือเดียว