Interroger le code source comme n'importe quelles données, voilà l'idée de départ de la société Semmle, qui a aboutit à la création d'un moteur d'analyse sémantique permettant d'identifier des vulnérabilités.

Avec cet outil, les développeurs écrivent des requêtes identifiant des modèles de code. Les développeurs voient les résultats de ces requêtes directement dans les revues de code, s'assurant ainsi qu'une fois le diagnostic posé, un nouveau type de vulnérabilité est éradiqué à jamais.

Selon Semmle, des équipes de sécurité d'Uber, de la NASA, de Microsoft et de Google lui ont fait ce qui a permis de détecter des milliers de vulnérabilités dans certaines des plus grandes bases de code du monde, ainsi que plus de 100 CVE dans des projets open source à ce jour.

GitHub vient de racheter Semmle et va intégrer ses outils afin d'améliorer la sécurité.

Nous sommes très heureux d’être rejoints par l’équipe de Semmle et d’accueillir leurs ingénieurs et chercheurs en sécurité de renommée mondiale sur GitHub. Ensemble, nous apporterons leur travail à toutes les communautés open source et à nos clients. En tant que communauté de développeurs, de responsables de la maintenance et de chercheurs, nous pouvons tous collaborer pour créer un logiciel plus sécurisé pour tous, commente GitHub.