Premiers pas
Apprends à consulter les résultats, à résoudre des problèmes, à utiliser SafeWrite et à travailler avec le tableau de bord de sécurité dans le IBM Bob Premium Package pour DevSecOps.
Avant de commencer, assure-toi que ton environnement répond à toutes les exigences. Pour plus d'informations, consulte Prérequis.
Le premium package DevSecOps exécute l'analyse en continu pendant que tu travailles. Les résultats apparaissent dans le panneau Bob Findings au fur et à mesure de leur détection. Tu peux aussi lancer une analyse à la demande : ouvre la palette de commandes et exécute IBM Premium Package for DevSecOps: Scan for issues ou IBM Premium Package for DevSecOps: Run Supply Chain Scan. La commande Scan for issues exécute ensemble l'analyse du code et de la configuration (SAST, IaC, secrets) et l'analyse de la supply chain.
Pour diviser un grand dépôt en parties plus petites, fais un clic droit sur n'importe quel répertoire et sélectionne IBM Bob Premium Package for DevSecOps > Scan.
Consulter les résultats
Le panneau Bob Findings regroupe tous les résultats d'analyse actifs de ton workspace en un seul endroit.
Ouvre ton IDE avec un projet chargé.
Ouvre le panneau Bob Findings dans le panneau latéral de Bob.
Consulte la liste des résultats. Chaque résultat affiche :
- Sévérité : Critical, High, Medium, Low ou Info.
- Fichier et ligne : l'emplacement exact dans ton code.
- ID de règle : la règle de l'analyseur qui a déclenché le résultat.
- Description : une explication en langage clair du problème.
- Score CVSS (le cas échéant) : le score de sévérité issu de la base de données CVE.
- Version sûre recommandée (résultats de la chaîne d'approvisionnement) : la version la plus proche sans la vulnérabilité.
- Conseils de correction (le cas échéant) : les étapes suggérées pour résoudre le problème.
Résoudre un résultat
Le bouton Fix with Bob lance une tâche agentique qui analyse le résultat en contexte et applique un correctif.
Dans le panneau Bob Findings, sélectionne le résultat que tu veux résoudre.
Clique sur Fix with Bob.
Bob ouvre une nouvelle tâche dans le panneau de chat et commence à analyser le problème. Examine les modifications proposées par Bob avant de les accepter.
Une fois les modifications acceptées, vérifie que le résultat n'apparaît plus dans le panneau Bob Findings.
SafeWrite
SafeWrite protège ton codebase contre les vulnérabilités de sécurité générées par l'IA. Lorsque Bob exécute une tâche agentique qui écrit ou modifie des fichiers, SafeWrite intercepte en mémoire les modifications proposées avant qu'elles ne soient écrites sur le disque.
Si l'agent tente de déclarer une dépendance vulnérable connue, SafeWrite la remplace automatiquement par la version sécurisée la plus proche avant la fin de l'écriture. Si l'agent tente d'installer un package vulnérable via une commande CLI telle que npm install ou pip install, SafeWrite bloque ou corrige la commande.
SafeWrite empêche aussi la modification directe des lockfiles (package-lock.json, poetry.lock et fichiers similaires), et peut éventuellement exécuter des contrôles SAST sur les modifications de code proposées avant leur écriture.
SafeWrite (expérimental) est désactivé par défaut. Pour l'utiliser, active SafeWrite dans les paramètres de l'extension.
Tableau de bord de sécurité
Le tableau de bord de sécurité offre une vue en temps réel et historique des résultats d'analyse de ton projet. Ouvre-le depuis le panneau latéral de Bob pour voir les exécutions d'analyse organisées par projet et par branche, suivre les tendances au fil du temps, et consulter ou ignorer les résultats d'exécutions passées. Tu peux sélectionner plusieurs résultats pour une correction en masse, et exporter un rapport HTML autonome de tes résultats.
Le tableau de bord conserve les résultats pendant 90 jours maximum.
Analyse de la chaîne d'approvisionnement
Le package DevSecOps analyse tes manifestes de dépendances à la recherche de vulnérabilités connues lorsque tu ouvres ou enregistres un fichier. Les résultats de la chaîne d'approvisionnement apparaissent dans le panneau Bob Findings avec les autres résultats. Pour corriger en une seule fois les vulnérabilités des dépendances dans l'ensemble de ton projet, utilise le workflow Fix Supply Chain Vulnerabilities. Pour plus d'informations, consulte Workflow de correction des vulnérabilités de la chaîne d'approvisionnement.
Politique d'installation de l'agent
Lorsque Bob opère dans une tâche agentique et installe un package en ton nom, le package DevSecOps vérifie la dépendance avant que l'installation ne se termine. Si le package est signalé comme risqué :
- Bob n'installe pas silencieusement le package.
- Bob indique les informations de risque dans le chat et installe la version recommandée à la place.