Plus de code dans votre dépôt est écrit par un agent qu'il y a un an, et la part ne fait qu'augmenter. Les agents sont bons pour faire fonctionner quelque chose. Ils sont bons pour se débloquer. Ce qu'ils ne font pas, c'est connaître les cadres de conformité que votre entreprise doit respecter, car ces informations se trouvent dans un document de politique qui n'est nulle part près de leur fenêtre de contexte.
Le résultat est une nouvelle source croissante de risque de conformité : du code qui est correct, fusionné et discrètement non conforme à un contrôle que personne n'a signalé à l'agent.
Le joker pratique
Un agent configure un nouveau service interne et une requête cross-origin échoue. La solution la plus rapide pour débloquer l'appel est d'autoriser toutes les origines. L'agent le fait, la requête aboutit, la tâche est marquée comme terminée. C'est une décision raisonnable pour quelqu'un dont le rôle est de faire fonctionner le code.
app.use(cors({- origin: ["https://app.example.com"],+ origin: true, // reflect any origin credentials: true,}))Réfléchir toute origine avec des identifiants élargit qui peut accéder à une surface authentifiée, ce qui est précisément ce que CC6.1 (accès logique) concerne : l'accès restreint à ce qui est autorisé. Le code est correct et la requête fonctionne. Le contrôle est plus faible qu'avant que l'agent n'y touche.
Pourquoi c'est la nouvelle frontière
La dérive des contrôles écrite par l'humain se produit une PR négligente à la fois. La dérive des contrôles écrite par un agent se produit à la vitesse et au volume auxquels les agents travaillent, sans le jugement implicite qu'un ingénieur senior apporte ('devrais-je vraiment ouvrir cela à tout le monde ?'). L'agent optimise pour la tâche devant lui, et 'satisfaire SOC 2 CC6.1' n'est pas la tâche devant lui.
À mesure que la part du code rédigé par des agents augmente, la proportion de modifications non soigneusement revues par un humain pour la conformité augmente également. C'est la dérive, et elle s'accumule.
La pull request est le seul point de contrôle
Vous ne pouvez pas placer le PDF de la politique dans le contexte de chaque agent et espérer qu'il se conforme. Pourtant, le travail de l'agent arrive toujours sous forme de pull request, et la pull request est le seul endroit déjà intégré dans le workflow où une modification peut être vérifiée avant son déploiement, qu'elle ait été écrite par une personne ou un agent.
heygrc est conçu pour analyser chaque PR par rapport à vos frameworks et citer le contrôle qu'une modification affecte, qu'elle soit rédigée par un agent ou non, afin que le joker pratique soit identifié comme un problème CC6.1 dans le diff.