Ferramentas de segurança costumam chegar em dois momentos pouco confortáveis: tarde, quando a mudança já virou um pull request grande, ou longe, em um painel que disputa atenção com o trabalho cotidiano. Duas novidades do GitHub publicadas ontem tentam deslocar essa revisão para mais perto da decisão que introduz o risco.

Uma delas examina as alterações ainda em andamento, sob demanda. A outra acrescenta detecções produzidas por inteligência artificial diretamente ao code scanning de pull requests. Juntas, elas sugerem uma arquitetura em camadas: análise contextual para ampliar o campo de visão, verificadores determinísticos para regras conhecidas e julgamento humano para decidir o que realmente bloqueia uma entrega.

Uma revisão enquanto o código ainda está sendo escrito

O comando /security-review entrou em preview público no aplicativo GitHub Copilot. Ele analisa as mudanças do fluxo de trabalho atual e devolve achados classificados por severidade e confiança, acompanhados de sugestões que podem ser aplicadas e verificadas novamente sem sair do aplicativo.

O recurso procura classes frequentes e de alto impacto, como injeção, cross-site scripting (XSS), tratamento inseguro de dados, travessia de caminhos e criptografia fraca. Antes, a mesma revisão orientada por IA já estava disponível no Copilot CLI, a interface de linha de comando. A novidade é aproximá-la do ambiente visual em que a pessoa acompanha e modifica sua sessão de desenvolvimento.

Essa diferença de lugar importa. Uma falha encontrada enquanto a intenção da mudança ainda está fresca tende a ser mais barata de investigar do que a mesma falha descoberta depois de revisão, integração e testes. Também fica mais fácil repetir o ciclo: alterar, revisar e conferir outra vez.

Mas conveniência não transforma o resultado em prova. O GitHub descreve achados de alta confiança, não uma garantia de completude. Uma aplicação prática sensata é usar o comando antes de abrir o pull request para eliminar problemas evidentes, mantendo testes, revisão por pares e analisadores especializados como critérios independentes.

Cobertura contextual dentro do pull request

A segunda mudança leva detecções de segurança por IA ao code scanning de pull requests. O objetivo declarado é alcançar linguagens e frameworks que ainda não têm cobertura nativa nas análises incorporadas do CodeQL, o mecanismo de análise estática do GitHub.

Os alertas aparecem no próprio pull request e recebem o rótulo AI, distinguindo sua origem dos resultados do CodeQL. A análise roda quando o pull request é aberto ou atualizado, e os resultados podem chegar progressivamente, sem esperar que todas as fontes terminem.

Há limites operacionais importantes. O recurso está em preview público para clientes do GitHub Code Security, exige que a configuração padrão do CodeQL esteja ativa e depende de autorização na empresa e habilitação na organização. Durante o preview, cada execução também requer licença do GitHub Copilot e consome créditos de IA.

Além disso, os achados são informativos e não bloqueiam o merge. Isso evita transformar uma detecção probabilística em cancela automática, mas transfere às equipes a responsabilidade de definir triagem, prazo e evidência de resolução. Um alerta que aparece no lugar certo mas não tem dono continua sendo apenas ruído bem posicionado.

IA e análise estática não fazem o mesmo trabalho

O ganho mais interessante não é substituir CodeQL por um modelo. Análise estática baseada em consultas oferece regras explícitas, resultados reproduzíveis e rastreabilidade para vulnerabilidades que já sabemos descrever. Uma análise por IA pode interpretar mais contexto e procurar padrões em ecossistemas ainda sem a mesma cobertura, mas seus resultados exigem validação e podem variar.

As duas abordagens se parecem com instrumentos diferentes em uma bancada. Um paquímetro mede com precisão aquilo para o qual foi construído; uma inspeção visual percebe anomalias fora da medida prevista. Abrir mão de qualquer um deles reduz a evidência disponível.

Para uma equipe, a consequência prática é desenhar o fluxo em camadas:

  • usar a revisão local para obter retorno rápido antes de compartilhar a mudança;
  • manter CodeQL, testes e verificações de dependências como controles reproduzíveis;
  • tratar as detecções por IA no pull request como uma expansão de cobertura;
  • exigir confirmação técnica antes de aceitar ou descartar um achado relevante.

O ponto de controle está mudando

A segurança assistida por IA está ficando menos parecida com uma auditoria separada e mais parecida com um par de olhos presente durante a construção. Essa proximidade pode reduzir o tempo entre introduzir e corrigir uma falha, sobretudo em stacks onde regras estáticas ainda deixam lacunas.

O teste de maturidade, porém, não será quantos alertas o modelo produz. Será se a equipe consegue preservar a distinção entre sugestão e evidência, medir o custo das execuções e fechar cada achado com uma decisão verificável. Trazer a revisão para antes do merge é um avanço de processo; torná-la confiável continua sendo trabalho de engenharia.