CodeQL
GitHub旗下的语义代码分析引擎，将代码库转化为可查询的关系数据库，通过类SQL查询语句检测跨函数、跨文件的安全漏洞模式，属于静态分析工具
核心事实
时间轴 (近 90 天)
自动化验证闸门应设计为“拦截并转人工复核”，而非无条件阻断，以避免因误报拖慢低风险改动。
CodeQL进行数据流与控制流层面的分析，能发现跨函数、跨文件的深层缺陷，但运行成本高于传统模式匹配型linter。
GitHub 近期收紧 Actions 信任边界，包括 CodeQL 对 Actions 问题的更精确检测、更清晰的可复用工作流身份上下文、最小权限、不可信触发器的只读缓存令牌。
作者的核心策略是让 AI 代理引用静态分析工具（ripgrep、ast-grep、Serena、CodeQL）的输出作为证据，并将 LLM 自身的分析明确区分开来
CodeQL 把代码转成数据库，提供漏洞查找、数据流分析和代码库关键指标计算，准备成本最高
v0.22.3 新增了 Python 和 Actions 的 CodeQL 安全扫描，并启用了 Python Dependabot 及发布冷却期
v3.23.0 升级了依赖项 pyright（1.1.413 到 1.1.414）、astral-sh/setup-uv（10.0.1 到 10.1.0）以及 CodeQL actions 至 4.38.1
CodeQL 属于静态分析范畴，无需运行程序即可扫描大规模代码库，但对于只有在特定运行时状态下才触发的漏洞存在盲区
CodeQL 是 GitHub 于 2019 年收购 Semmle 后纳入旗下的语义代码分析引擎
Autofix是GitHub Advanced Security中的一项功能，利用大语言模型自动为CodeQL扫描发现的安全漏洞生成修复建议
还有 1 条时间轴事件
全部知识事实 (12)
CodeQL被GitHub收购，引入了数据流分析和污点追踪，但仍受限于预定义查询
65%待验证传统静态分析工具如Coverity和CodeQL在处理Firefox级别的代码库时面临路径爆炸问题，导致超时或大量误报
75%待验证自动化验证闸门应设计为“拦截并转人工复核”，而非无条件阻断，以避免因误报拖慢低风险改动。
50%待验证CodeQL进行数据流与控制流层面的分析，能发现跨函数、跨文件的深层缺陷，但运行成本高于传统模式匹配型linter。
50%待验证作者的核心策略是让 AI 代理引用静态分析工具（ripgrep、ast-grep、Serena、CodeQL）的输出作为证据，并将 LLM 自身的分析明确区分开来
50%待验证CodeQL 把代码转成数据库，提供漏洞查找、数据流分析和代码库关键指标计算，准备成本最高
50%待验证v0.22.3 新增了 Python 和 Actions 的 CodeQL 安全扫描，并启用了 Python Dependabot 及发布冷却期
50%待验证CodeQL 是 GitHub 于 2019 年收购 Semmle 后纳入旗下的语义代码分析引擎
50%待验证CodeQL 属于静态分析范畴，无需运行程序即可扫描大规模代码库，但对于只有在特定运行时状态下才触发的漏洞存在盲区
50%待验证Autofix是GitHub Advanced Security中的一项功能，利用大语言模型自动为CodeQL扫描发现的安全漏洞生成修复建议
50%待验证传统静态代码分析工具对元数据、文档和配置文件中的恶意提示注入指令缺乏有效检测能力
50%待验证GitHub 近期收紧 Actions 信任边界，包括 CodeQL 对 Actions 问题的更精确检测、更清晰的可复用工作流身份上下文、最小权限、不可信触发器的只读缓存令牌。
50%