HEIDI: Plugin gratuito per IDE che rileva vulnerabilità in tempo reale nelle dipendenze open source

HEIDI: il plugin gratuito per IDE che rivoluziona la sicurezza del software open-source

Le dipendenze open-source costituiscono una parte significativa del codice nelle applicazioni in produzione, ma la maggior parte dei controlli di vulnerabilità avviene ancora in fase avanzata del pipeline, all'interno dei sistemi CI/CD o dopo il rilascio. Meterian sta cambiando questo approccio con HEIDI, un plugin gratuito per Visual Studio Code e JetBrains IDE che segnala i pacchetti vulnerabili e offre aggiornamenti con un solo clic direttamente dall'editor.

HEIDI è disponibile anche tramite il registro OpenVSX e ha raggiunto quasi 5.000 installazioni nel suo primo mese sul Visual Studio Code Marketplace. Supporta Java, .NET, Node.js, Python, PHP, Ruby, Rust e Go, scansionando solo i file manifest senza intaccare il codice sorgente sul computer dello sviluppatore.

Un aspetto innovativo di HEIDI è l'integrazione con i server Model Context Protocol (MCP), che permette agli assistenti AI di codice di interrogare dati sulle vulnerabilità in tempo reale durante la generazione o la revisione del codice. I client supportati includono GitHub Copilot, Cursor, Windsurf, Claude Code, Gemini CLI e Codex CLI. Questa integrazione fornisce alle AI attuali informazioni sulle minacce al momento in cui suggeriscono una dipendenza, colmando il divario creato dai tagli dei dataset di addestramento.

Dati in tempo reale contro conoscenze model obsolete

HEIDI si distingue per l'uso di dati in tempo reale rispetto alle informazioni obsolete presenti nei modelli di addestramento delle AI. Secondo Roberto Franchini, sviluppatore open-source che lavora su ArcadeDB, HEIDI "funziona come uno strato di sicurezza live importante, confrontando le proposte AI con informazioni attuali sulle minacce", permettendo alle squadre di utilizzare gli strumenti di codice AI senza accumulare debito di sicurezza derivante da dataset obsoleti.

Bruno Bossola, CTO e co-fondatore di Meterian, ha sottolineato che la velocità del pipeline dati è fondamentale per questa promessa. "Monitoriamo attivamente le CVEs e le comunicazioni sulla sicurezza nei principali progetti open-source alla fonte, inclusi gli avvisi upstream e gli annunci ufficiali dei progetti. Per questi progetti monitorati, il nostro database viene tipicamente aggiornato entro poche ore dalla divulgazione ufficiale", ha dichiarato Bossola. "In molti casi, ciò significa che HEIDI può segnalare il problema prima che appaia nelle fonti OSINT downstream come il GitHub Advisory Database, e diversi giorni prima che il record CVE o l'ingresso NVD sia completamente pubblicato o arricchito." Per i progetti al di fuori del set monitorato, Meterian ingerisce i principali database di vulnerabilità open-source ogni due ore.

Registrazione automatica con i client AI

Una scelta di design che potrebbe attirare l'attenzione è la registrazione automatica di HEIDI con i client AI con cui si integra. Il plugin scrive la configurazione minima di cui ogni strumento ha bisogno per riconoscerlo, senza richiedere all'utente di confermare separatamente per ogni client.

Bossola ha difeso questa scelta con motivi pratici. "Un plugin IDE o un'integrazione CLI non può fornire risultati all'interno di quel client a meno che il client non sappia che il plugin esiste e abbia la configurazione necessaria per invocarlo. In questo senso, la registrazione non è un evento separato di accesso ai dati; è il passaggio tecnico che consente all'integrazione installata dall'utente di funzionare", ha affermato. "HEIDI non utilizza questa registrazione per assumere il controllo del client, esportare il codice o concedersi silenziosamente ulteriori permessi." Dove un client fornisce il proprio flusso di consenso o estensione, HEIDI lo segue. Meterian continuerà a rivedere i feedback degli utenti su questo modello.

Gestione dei falsi positivi e analisi di raggiungibilità

I falsi positivi sono stati a lungo un punto dolente per l'analisi della composizione del software. Bossola ha adottato una linea rigorosa su questo argomento. "Il nostro database contiene solo coordinate di pacchetti precise e tutte le vulnerabilità sono dedupplicate durante l'ingestione. La nostra filosofia è che non ha senso mantenere un pacchetto vulnerabile noto in una base di codice quando una versione correttiva è facilmente disponibile, cosa che accade nella stragrande maggioranza dei casi." Ignorare un risultato richiede un solo clic per le rare occasioni in cui è necessario accantonare un risultato.

Meterian adotta una posizione ferma anche sull'analisi di raggiungibilità, la pratica di sopprimere gli allarmi quando una funzione vulnerabile viene giudicata irraggiungibile in una determinata base di codice. "Non consideriamo un pacchetto vulnerabile irraggiungibile un falso positivo. Il pacchetto vulnerabile è ancora presente nella base di codice, ancora parte della catena di fornitura del software e ancora necessita di essere compreso e gestito", ha affermato Bossola. Ha notato che la raggiungibilità può servire come segnale di prioritizzazione in ambienti più grandi, con analisi del codice assistita da AI disponibile per tracciare i percorsi di utilizzo quando le squadre necessitano di una visione più approfondita.

Percorsi di aggiornamento e download

Quando viene trovato un dipendenza vulnerabile, HEIDI propone aggiornamenti sicuri seguendo le linee guida di versioning semantico, offrendo la versione più sicura disponibile a livello di patch, minor e major in modo che le squadre possano scegliere il cambiamento che sono disposte ad assorbire. Per le dipendenze transitive, HEIDI può identificare e raccomandare un aggiornamento al pacchetto genitore che tira dentro una versione corretta, dove l'ecosistema e il gestore di pacchetti supportano quella risoluzione.

HEIDI è disponibile per il download gratuito sul marketplace di Visual Studio Code, sul marketplace di JetBrains e sul registro OpenVSX.