El uso de herramientas de seguridad en el desarrollo de software a menudo representa un desafío para los desarrolladores, quienes, en lugar de encontrar un apoyo en estas herramientas, enfrentan complicaciones que entorpecen su flujo de trabajo. Tradicionalmente, estas herramientas no están diseñadas pensando en los desarrolladores, a pesar de que son estos los que normalmente deben abordar y solucionar los problemas de seguridad. Esta situación se agrava cuando los desarrolladores deben alternar entre la herramienta de seguridad y su entorno de desarrollo, lo que puede llevar a pérdidas significativas de tiempo y a una disminución en la productividad.
Además, las alertas generadas por herramientas de seguridad suelen ser poco prácticas. Los desarrolladores, en lugar de recibir orientación clara, se ven forzados a investigar por su cuenta, enfrentándose incluso a falsos positivos que los desvían de su principal tarea: la creación de nuevas funcionalidades. Este fenómeno, conocido como fatiga ante las alertas, puede resultar en una menor atención a las vulnerabilidades a medida que estas se acumulan en el sistema.
GitHub, en un esfuerzo por transformar esta realidad, está incorporando la seguridad directamente en los flujos de trabajo de los desarrolladores. A través de herramientas como Secret Protection, Code Security, Dependabot, y Copilot Autofix, la plataforma busca no solo detectar problemas, sino también ayudar a los desarrolladores a priorizar y solucionar estos problemas utilizando inteligencia artificial como apoyo.
Por ejemplo, al realizar un commit, GitHub Secret Protection puede detectar si se han expuesto secretos, como una clave API olvidada, antes de que lleguen a causar problemas. Este sistema genera alertas en tiempo real mientras el código se sube al repositorio, permitiendo que los desarrolladores realicen correcciones inmediatas, cuando el código aún está fresco en sus mentes. Esta herramienta es esencial para prevenir la filtración accidental de secretos en el entorno de producción.
Por otro lado, después de un commit, muchos desarrolladores dependen de bibliotecas de código abierto. En este contexto, Dependabot entra en acción identificando vulnerabilidades en estas dependencias. Si hay una solución disponible, Dependabot genera automáticamente una solicitud de pull, permitiendo que los desarrolladores solucionen los problemas sin interrumpir su flujo de trabajo. Además, ahora incorpora datos del Exploit Prediction Scoring System (EPSS) para priorizar alertas basándose en la probabilidad de explotación.
En el proceso de las solicitudes de pull, GitHub ejecuta automáticamente herramientas de seguridad, evitando revisiones manuales por parte del desarrollador. La función Copilot Autofix, por su parte, sugiere correcciones para el 90% de los tipos de alertas, facilitando la remediación con equipos que han conseguido reducir en un 60% el tiempo dedicado a solucionar vulnerabilidades.
En conclusión, la seguridad en el desarrollo de software es primordial, y GitHub busca simplificar esta tarea integrando herramientas que no solo alertan sino que también proponen soluciones dentro del flujo de trabajo del desarrollador. Con esta estrategia, la plataforma está redefiniendo cómo se aborda la seguridad en el entorno de desarrollo de software, haciendo que la escritura de código seguro sea menos laboriosa y más eficiente.
