‏Security Swarm: اسکن امنیتی کد با چند Devin موازی

طبق مستندات Devin، Security Swarm ابزار اسکن و رفع آسیب‌پذیری Devin هست. اول یه threat model (یعنی توصیف اینکه مهاجم کیه، دنبال چیه و از کجا وارد می‌شه) مخصوص کدت می‌سازه، بعد آسیب‌پذیری‌های احتمالی رو بررسی و تأیید می‌کنه و برای رفعشون Pull Request می‌ده. می‌تونه RCE، SQL injection، path traversal، SSRF، دور زدن مجوزها، باگ‌های حافظه و DoS رو پیدا کنه، حتی زنجیره‌ای از باگ‌ها که بین چند فایل پخش شدن.

پشتش روشی هست که تیم Devin اسمشو گذاشته Agentic MapReduce: مخزن بین چند Devin موازی تقسیم می‌شه، هر کدوم یه تیکه رو عمیق بررسی می‌کنه و نتیجه‌ها با هم ترکیب می‌شن. اینطوری پوشش گسترده‌ست ولی هزینه کنترل‌شده می‌مونه، یعنی اسکن کدبیس‌های بزرگ هم به‌صرفه می‌شه. هر یافته شامل شدت، احتمال exploit، سطح اطمینان، مسیر فایل، توضیح، پیشنهاد رفع و نتیجهٔ تست تو sandbox هست.

رفتار اسکن با scan profile تنظیم می‌شه: threat model، راهنمای بررسی و triage، معیار شدت، نحوهٔ تست تو sandbox و محدودیت‌های رفع باگ. به گفتهٔ مستندات، یه threat model دقیق یکی از مؤثرترین راه‌ها برای ثابت موندن نتیجه‌ها بین اسکن‌هاست. با Interactive mode هم Devin قبل از شروع، threat model پیشنهادیش رو نشونت می‌ده تا تأییدش کنی یا بهش فیدبک بدی. پروفایل‌های Ingest هم یافته‌های اسکنرهای دیگه مثل Semgrep یا GitHub code scanning رو وارد می‌کنن.

اسکن چهار حالت داره: یه مخزن، چند مخزن با هم (برای باگ‌هایی که بین سرویس‌ها پخش شدن)، اسکن جداگونهٔ همهٔ مخزن‌های سازمان، و وارد کردن یافته‌های بیرونی. دو سطح تلاش Normal و Deep داره و Auto Scan فقط commitهای جدید رو بررسی می‌کنه که ارزون‌تر تموم می‌شه. اسکن‌ها به شکل سشن Devin اجرا می‌شن و ACU مصرف می‌کنن. خود مستندات هم تأکید می‌کنه هیچ اسکنری پوشش کامل رو تضمین نمی‌کنه و نتیجهٔ دو اسکن ممکنه یکی نباشه.

نکات کلیدی:

• اسکن چندمخزنی تا ۲۰۰ مخزن رو با هم بررسی می‌کنه
• Batch size بین ۱ تا ۵۰۰ قابل تنظیمه و پیش‌فرضش ۵ هست
• به‌طور پیش‌فرض یافته‌های critical، high و medium تو sandbox تست می‌شن
• تو حالت Ingest می‌شه تا ۱۰ گزارش مثل SARIF، CSV یا PDF ضمیمه کرد
• اعضای عادی سازمان به‌طور پیش‌فرض هیچ مجوز code scan ندارن