Desde el año 2019, GitHub Security Lab se ha dedicado a mejorar la seguridad del software mediante la colaboración comunitaria y el uso del código abierto. Este enfoque permite que cualquier persona audite el código y reporte vulnerabilidades, promoviendo un entorno de seguridad más robusto.
Recientemente, se ha abierto una nueva oportunidad para avanzar en la seguridad colaborativa gracias a la inteligencia artificial. Esta tecnología permite codificar y compartir conocimientos de seguridad a través del lenguaje natural, lo que facilita la creación y difusión de herramientas avanzadas. Utilizando interfaces como el Protocolo de Contexto de Modelo (MCP), se pueden potenciar herramientas existentes como CodeQL.
La colaboración comunitaria puede mejorar la rapidez en la detección y corrección de vulnerabilidades. Con este fin, GitHub está experimentando con el GitHub Security Lab Taskflow Agent, un marco ahora disponible para los participantes del GitHub Secure Open Source Fund. Aunque aún está en fase experimental, el agente está listo para ser probado.
El uso del seclab-taskflow-agent es sencillo, comenzando con la creación de un token de acceso personal y configurando secretos de codespace. Los usuarios pueden iniciar un codespace y ejecutar análisis con un solo comando, descargando y auditando archivos en busca de vulnerabilidades.
Existen opciones para ejecutar el marco en un terminal de Linux o mediante Docker, lo que ofrece flexibilidad a los usuarios. Los taskflows, archivos YAML que definen listas de tareas, son cruciales y permiten estructurar el flujo de trabajo.
Este modelo de colaboración está diseñado para permitir que cualquier usuario comparta sus taskflows, promoviendo así la creación colectiva de herramientas de seguridad. GitHub ha publicado sus repositorios como paquetes en el ecosistema de Python, separando la base técnica de las suites de taskflows.
El proyecto tiene como objetivo central promover la seguridad comunitaria y crear herramientas que faciliten la rápida eliminación de vulnerabilidades al compartir métodos de identificación. Se espera que los taskflows sean fundamentales para alcanzar estos objetivos y mejorar la seguridad del software a nivel global.
