AI Code Reviews

Was ist Sourcery?

Sourcery ist eine Plattform für die Überprüfung von Code sowie zur Gewährleistung der Code-Sicherheit, die sich an Entwicklerteams richtet. Sie kann automatisch Zusammenfassungen der Änderungen, Kommentare zu den einzelnen Zeilen sowie Verbesserungsvorschläge in Pull-Requests erstellen und außerdem kontinuierlich Sicherheitsprobleme im Code-Repository scannen.

Das Produkt kann mit GitHub, GitLab sowie mit von Unternehmen selbst gehosteten Code-Plattformen verbunden werden und durch IDE-Erweiterungen in den täglichen Arbeitsablauf der Entwickler integriert werden. Zudem können Teams eigene Überprüfungsregeln definieren, damit die automatischen Rückmeldungen besser an die internen Engineering-Vorgaben angepasst sind.

Eine kurze Beschreibung

Sourcery nutzt KI, um Pull-Requests automatisch zu prüfen und Sicherheitsrisiken im Repository zu scannen, wodurch Teams Fehler schneller erkennen, Codestandards einhalten und die Last der manuellen Prüfung verringern können.

Kernfunktionen

• Zusammenfassung des Pull-Requests: Kurze Beschreibung des Zwecks dieser Änderung, des betroffenen Umfangs sowie der wichtigsten Dokumente.
• Zeile für Zeile Kommentare zum Code: Neben den entsprechenden Codezeilen werden potenzielle Mängel, Leseprobleme oder Verbesserungsmöglichkeiten angegeben.
• Gesamtbewertung durch die Leitungsebene: Gesamte Rückmeldungen aus den Aspekten Design, Logik, Wartbarkeit und Risiken.
• Vorschlag zur sofortigen Behebung: Für bestimmte Probleme werden Lösungsvorschläge bereitgestellt, die direkt angewendet oder weiter angepasst werden können.
• Überprüfung des Status: Die Ergebnisse der automatischen Überprüfung werden im Zusammenführungsprozess angezeigt, um Qualitätsstandards festlegen zu können.
• Lager-Ebene-Analyse: Hilft dem Team, die Codequalität zu beobachten, Aktivitäten zu überprüfen und die Verteilung von Problemen zu analysieren.
• Benutzerdefinierte Regeln: Automatische Überprüfung unter Berücksichtigung der Teamstruktur, Sicherheitsrichtlinien und Kodierungsstandards.
• IDE-Hilfen: Code im Editor erklären, Tests hinzufügen, Dokumentation erstellen oder die Implementierung optimieren.

Automatische Überprüfung von Pull-Requests

Nach der Installation im Code-Repository löst Sourcery eine Überprüfung bei neuen Pull-Requests oder nachfolgenden Commit-Operationen aus. Die Ergebnisse umfassen in der Regel einen Zusammenfassung, allgemeine Rückmeldungen, Zeilen für Zeile dargelegte Empfehlungen sowie einen Statuscheck, die der Entwickler innerhalb der bestehenden Zusammenarbeitsoberfläche bearbeiten kann.

• Große Änderungen schnell verstehen, ohne zuerst alle Dateien einzeln öffnen zu müssen.
• Vor der manuellen Überprüfung wurden offensichtliche Fehler, übersehene Grenzen sowie inkonsistente Implementierungen festgestellt.
• Lassen Sie die Prüfer ihre Aufmerksamkeit auf die Architektur, die Produktlogik und die komplexen Risiken richten.
• Überprüfen Sie nach dem Senden der Aktualisierung erneut, ob das Problem behoben wurde.

Code-Sicherheits-Scanning

Die Sicherheitsfunktionen von Sourcery ermöglichen es nicht nur, die aktuellen Unterschiede zu überprüfen, sondern auch die verbundenen Repositorien zu scannen. In den offiziellen Dokumentationen werden die Scannbereiche in Kategorien wie Schlüssel, Sicherheit statischer Anwendungen, Infrastructure as Code, Abhängigkeiten und Lizenzen eingeteilt.

• Schlüsselscan: Suche nach Token, Passwörtern und Zugangsdaten, die möglicherweise in das Repository eingereicht werden.
• Sicherheit statischer Anwendungen: Erkennung häufiger Sicherheitslücken im Code sowie gefährlicher Datenflüsse.
• Infrastruktur als Code: Überprüfung der Cloud-Ressourcen und Bereitstellungsrisiken in den Konfigurationsdateien.
• Abhängigkeitsscan: Erkennung bekannter Sicherheitslücken, veralteter Komponenten oder Probleme in der Lieferkette.
• Lizenz-Scan: Hilft dem Team, Risiken durch Lizenzbedingungen bei Drittanbieter-Abhängigkeiten zu erkennen.

Anpassbare Überprüfungsregeln

Allgemeine AI-Empfehlungen entsprechen nicht unbedingt dem technischen Stack und den geschäftlichen Beschränkungen jedes Teams. Sourcery ermöglicht es Teams, eigene Regeln zu konfigurieren, um mit natürlicher Sprache oder Projektkonfigurationen die Richtlinien festzulegen, die kontinuierlich überprüft werden sollen.

• Für die Hinzufügung neuer Schnittstellen müssen gleichzeitig Authentifizierung, Berechtigungen oder Parameterüberprüfungen ergänzt werden.
• Einschränkung von Bibliotheken, Mustern oder alten API-Versionen, die das Team nicht weiter verwenden möchte.
• Überprüfen Sie, ob die Protokolle, die Fehlerbehandlung, die Tests sowie die Dokumentation den internen Vorgaben entsprechen.
• Hinweise zur Überprüfung in den Bereichen Finanzen, Gesundheitswesen oder Unternehmenssoftware hinzufügen.
• Die wiederholt auftretenden Bewertungskommentare durch menschliche Prüfer in wiederverwendbare Regeln umwandeln.

Code-Zusammenfassung und Visualisierung

Die Pro- und höheren Pakete beinhalten die Möglichkeit, Zusammenfassungen sowie Diagramme der Pull-Requests anzusehen. Dadurch können die Prüfer schnell ein umfassendes Bild der Änderungen erhalten. Bei mehreren Modulen, bei der Zusammenarbeit mehrerer Personen oder bei veralteten Systemen ist es in der Regel effizienter, zunächst eine strukturierte Zusammenfassung zu lesen, anstatt direkt in die Details einzutauchen.

AI-Programmierhilfe in IDEs

Sourcery kann in VS Code, Cursor, Windsurf sowie den JetBrains-IDEs verwendet werden. Entwickler können so im Codierprozess alten Code verstehen, Tests und Dokumentationen erstellen, die Lesbarkeit verbessern und verhindern, dass Probleme erst nach dem Einreichen einer Pull-Request entdeckt werden.

• Erklären Sie fremde Funktionen, Modulbeziehungen und die Absicht des ursprünglichen Codes.
• Fügen Sie zur bestehenden Logik Unit-Tests, Grenzfälle und Dokumentationsstrings hinzu.
• Suchen Sie nach Implementierungen, die die Lesbarkeit, Leistung oder Wartungskosten beeinflussen.
• Bearbeiten Sie vor der Einreichung die automatisch erkannten Qualitätsprobleme.

Unterstützte Plattformen und Integrationen

Für welche Benutzer geeignet

• Softwareentwicklerteams, die die Wartezeit für Pull-Requests verkürzen müssen.
• Ein Plattform-Entwicklerteam, das darauf abzielt, einheitliche Standards für die Code-Prüfung in mehreren Lagern zu schaffen.
• Kleine bis mittlere Teams ohne fest angestellte Sicherheitskräfte, die jedoch eine grundlegende, kontinuierliche Überwachung benötigen.
• Ingenieurorganisationen für die Wartung großer, veralteter Codebasen, mehrsprachiger Projekte oder komplexer Dienste.
• Mitarbeiter, die eine kostenlose automatische Überprüfung für Open-Source-Projekte anstreben.
• Große Unternehmen, die eine private Implementierung, eigene Modelle oder strenge Kontrolle über die Daten benötigen.

Typische Anwendungsfallen

• Funktionsentwicklung: Prüfung von Logikfehlern, fehlenden Tests und Fehlerbehandlung vor der Kombination.
• Code-Refactoring: Überprüfen, ob durch das Refactoring keine Veränderungen im Verhalten des Codes oder neue Wartungsrisiken entstanden sind.
• Zusammenarbeit mit Neuen: Mit konsistenten Rückmeldungen helfen, neuen Mitgliedern die Projektstandards zu vermitteln.
• Open-Source-Wartung: Erstes automatisches Review für externe Beiträge in öffentlichen Repositorien.
• Sicherheitsmanagement: Regelmäßige Scans von Schlüsseln, Abhängigkeiten und Problemen im statischen Code.
• Mehrfachlagerverwaltung: Zentrale Überwachung der Risiken und Prüfaktivitäten für eine große Anzahl von Projekten.
• Konformitätsbasierte Entwicklung: Stärkung der Kontrolle über sensiblen Code durch Regeln und private Bereitstellung.

Anleitung zur Verwendung von Sourcery

1. Erstellen Sie ein Sourcery-Konto mit Ihrem Arbeitskonto und wählen Sie die Verbindungsart GitHub oder GitLab aus.
2. Installieren Sie die entsprechende Anwendung oder vollziehen Sie die Autorisierung – wählen Sie nur die Organisationen und Repositorien aus, für die die Überprüfung aktiviert werden soll.
3. Erstellen Sie einen neuen Test-Pull-Request, um zu überprüfen, ob Zusammenfassung, Kommentare und Statusüberprüfung ordnungsgemäß angezeigt werden.
4. Anpassen Sie die Anzahl der Kommentare, die Auslösebedingungen sowie die Benachrichtigungs-Einstellungen entsprechend der Sprache des Projekts und den Prozessen des Teams.
5. Fügen Sie eine kleine Anzahl hochwertiger, benutzerdefinierter Regeln hinzu und verwenden Sie tatsächliche Änderungen, um Fehlalarme zu überprüfen.
6. Entwickler werden eingeladen, an dem Test teilzunehmen, um die Überprüfungszeit, die Annahmequote und übersehene Probleme zu dokumentieren.
7. Nach Überprüfung der Wirksamkeit soll es auf weitere private Repositorien ausgeweitet werden, wobei Plätze und Berechtigungen festgelegt werden.

Wie man benutzerdefinierte Regeln konfiguriert

1. Man fasst die in der Vergangenheit wiederholt von den Teams vorgebrachten Bewertungskommentare zusammen und gibt den Regeln Vorrang, bei denen eine klare Beurteilung möglich ist.
2. Formulieren Sie die Regeln als konkrete Anforderungen und fügen Sie einen Anwendungsverzeichnis, die Sprache oder Ausnahmefälle hinzu.
3. Testen Sie die Regeln an Beispielladenanfragen, um zu überprüfen, ob unklare oder wiederholte Kommentare entstehen.
4. Lassen Sie den Ingenieur, der für dieses Modul verantwortlich ist, überprüfen, ob die Vorschläge korrekt sind und umsetzbar.
5. Regeln werden schrittweise eingeführt, und regelmäßig werden Projekte mit geringem Wert, die veraltet sind oder bei denen es viele Fehlmeldungen gibt, entfernt.

Wie man einen sicheren Scan verwendet

1. Wählen Sie zunächst eine kleine Anzahl repräsentativer Lagerhäuser aus, um mit der Scannung zu beginnen – übergeben Sie nicht gleich alle historischen Probleme dem Team.
2. Übersicht der Erkenntnisse nach Kategorie: Schlüssel, Anwendungs-Sicherheit, Infrastruktur, Abhängigkeiten und Lizenzen.
3. Priorisieren Sie Probleme mit hohem Risiko, die ausnutzbar sind, die die Produktion beeinflussen oder echte Beweise enthalten.
4. Für die bestätigten Probleme werden Verantwortliche und Fristen zugewiesen, und die Grundlagen für die Einordnung als Fehlalarm werden dokumentiert.
5. Nach der Reparatur erneut scannen und gleichzeitig Präventionsregeln in den Submit- und Merge-Prozess aufnehmen.

Vorschläge zur Umsetzung im Team

1. Es ist klar, dass die KI für die erste Überprüfung zuständig ist, während die endgültige Zusammenfassung weiterhin von menschlichen Prüfern unter Berücksichtigung des Kontexts entschieden wird.
2. Etablieren Sie eine Baseline für die Testregion und vergleichen Sie die Wartezeiten, den Fehleranteil sowie die Akzeptanzrate von Kommentaren vor und nach der Aktivierung.
3. Die Dichte der Roboterkommentare begrenzen, um zu verhindern, dass zahlreiche weniger wichtige Vorschläge echte Risiken überschatten.
4. Integrieren Sie die Sicherheitsentdeckungen in die bestehenden Workflows für Tickets, Reaktion auf Schwachstellen und Freigabeprozesse für Ausnahmen.
5. Monatlich werden die benutzerdefinierten Regeln, Fehlalarme und ignorierte Kommentare überprüft und kontinuierlich optimiert.

Paketpreis

Sourcery berechnet Gebühren monatlich entsprechend den zugewiesenen Plätzen; eine jährliche Zahlung spart 20 %. Offene Repositorien und Open-Source-Projekte können das kostenlose Programm nutzen, während private Repositorien je nach Anforderungen in Bezug auf Überprüfungen, Sicherheitsscans und Unternehmensbereitstellung eine gebührenpflichtige Version wählen können.

Unterschiede zwischen den Paketen

Abonnements- und Sitzplatzregeln

• Jahresabonnemente sparen im Vergleich zu monatlichen Abonnements 20 %.
• Die Kosten werden nur nach den dem Mitglied zugewiesenen Sitzen berechnet.
• Private Lager können zunächst 14 Tage lang kostenlos getestet werden.
• Es kann jederzeit storniert oder herabgestuft werden und bis zum Ende des aktuellen Zahlungszyklus verwendet werden.
• Öffentliche Repositorien und Open-Source-Projekte bieten kostenlose Code-Review-Dienste an.
• Der Preis für Enterprise muss anhand von Anforderungen hinsichtlich Implementierung, Support und Organisation angefragt werden.

Was kann die kostenlose Version tun?

Das Open Source-Programm dient hauptsächlich öffentlichen Repositorien und bietet eine automatische Code-Review-Funktion auf Pro-Niveau. Sicherheitsscans werden kostenlos für 3 Repositorien angeboten, und zwar alle zwei Wochen – das eignet sich gut, damit Betreuer die Kernprozesse überwachen können.

Kostenlose Unterstützung für Open-Source-Projekte bedeutet nicht, dass die Sourcery-Plattform selbst Open Source ist. Private Repositorien, weitere Sicherheitsscans, Analysen sowie unternehmensbezogene Funktionen erfordern weiterhin kostenpflichtige Pakete.

Daten und Privatsphäre

Sourcery muss den mit der Überprüfung verbundenen Codeinhalt lesen und prüfen, wobei es Modelldienste wie Azure OpenAI, Anthropic und OpenAI zur Durchführung von Teilarbeiten nutzt. Laut offiziellen Angaben werden die Modelle nicht mit Kundencode oder -nachrichten trainiert, und Sourcery selbst speichert diesen Code oder diese Nachrichten nicht.

• Der Code wird in der Regel als Unterschiede in Pull-Requests oder als die für die Überprüfung erforderlichen Abschnitte verarbeitet.
• Die Anbieter von Modellservices verwenden weder den Kundencode noch die Nachrichten zur Schulung.
• Laut offiziellen Angaben darf die Speicherung durch Dritte nicht länger als 30 Tage andauern.
• Unternehmen können die Option ohne Rückhalt, eigenständige Modellendpunkte oder self-hosted-Lösungen bewerten.
• Bei sensiblen Projekten sollten weiterhin Verträge, Datenbereiche, Zugriffsrechte und Löschmechanismen überprüft werden.

Unternehmenssicherheitsfähigkeit

• SOC 2-Zertifizierung, zur Unterstützung der Überprüfung von Kontrollmaßnahmen durch Unternehmen.
• Option ohne Speicherung – geeignet für Teams mit strengeren Anforderungen an die Speicherung von Drittdaten.
• Mit integrierten Endpunkten für große Modelle, damit Organisationen genehmigte Modelldienste nutzen können.
• Selbstverwalteter Sourcery – damit der Code seltener aus der internen Umgebung herausgelangt.
• Unterstützung für eine Unternehmenscode-Plattform, die mit internen GitHub- oder GitLab-Instanzen verbunden werden kann.
• Prioritärer Support und Kundenerfolgsdienste zur Unterstützung bei der großflächigen Einführung.

Vorteile des Produkts

• Direkter Einbau in den Pull-Request-Prozess – ohne dass Entwickler häufig zwischen Tools wechseln müssen.
• Gleichzeitig umfasst es die Überprüfung der Codequalität sowie mehrere Arten von Sicherheitsscans.
• Es werden benutzerdefinierte Regeln unterstützt, mit denen Teamerfahrungen in kontinuierliche Überprüfungen umgewandelt werden können.
• Kompatibel mit GitHub, GitLab, selbst gehosteten Unternehmensplattformen und gängigen IDEs.
• Open-Source-Projekte sind kostenlos und eignen sich für Wartung sowie den Beitrag der Community.
• Team und Enterprise bieten Analyse mehrerer Lager, eigene Modelle sowie Optionen für eine private Bereitstellung.
• Die Preise werden nach den zugewiesenen Plätzen berechnet, wobei die Paketstufen relativ klar strukturiert sind.

Einsatzbeschränkungen und Hinweise

• KI-Überprüfungen können Fehlalarme auslösen, Kontexte übersehen oder falsch interpretieren und ersetzen keine menschliche Freigabe.
• Automatische Zusammenfassungen und Zeilen für Vorschläge sind nicht gleichbedeutend mit einer vollständigen Architektur und Threat-Modellierung.
• Die Anzahl sowie die Häufigkeit der Sicherheitsscans in den Open-Source- und Pro-Lagern ist begrenzt.
• Die Pro-Sicherheitsscans sind eine eingeschränkte Version und eignen sich nicht als Ersatz für ein vollständiges Sicherheitsmanagement-System.
• Die Kosten steigen mit der Anzahl der zugeteilten Plätze und der Größe des Teams.
• Die Verarbeitung von proprietärem Code erfordert die Organisation von Bewertungsmodellen für Anbieter, Aufbewahrungszeiträumen und Datengebieten.
• Zu viele benutzerdefinierte Regeln können zu doppelten Kommentaren und Überprüfungsrauschen führen.
• Funktionen wie Self-Hosting, Prioritätsunterstützung und Rechnungsstellung sind nur in Enterprise verfügbar.
• Lager-Sprachen, generierter Code und komplexe Geschäftslogiken können die Qualität der Empfehlungen beeinflussen.
• Sichere Erkennungen müssen weiterhin manuell bestätigt, geordnet, behoben und erneut überprüft werden.

GitHub und Open Source

Die offizielle GitHub-Organisation von Sourcery hat einen Repository mit dem Namen sourcery veröffentlicht. Dieses Repository wird unter der MIT-Lizenz bereitgestellt und enthält Produktbeschreibungen, Einstellungen für Pré-Commit-Hooks, Demonstrationsmaterial sowie einige Projektkonfigurationen. Im Repository befindet sich derzeit kein erkennbarer Quellcode in einer Programmiersprache.

Daher gilt die MIT-Lizenz nur für die Dateien in diesem öffentlichen Repository und kann nicht auf den Sourcery-Code-Review-Dienst, den Backend für Sicherheitsscans oder die gesamte Open-Source-Plattform übertragen werden. Im Tool-Katalog sollte das Kernprodukt als kommerzieller Dienst mit geschlossener Quellcode-Struktur gekennzeichnet werden, wobei ausdrücklich angegeben werden muss, dass das offizielle öffentliche Repository unter der MIT-Lizenz steht.

Grundlegende Informationen

Empfehlungswert

4,5 / 5. Sourcery eignet sich für Entwicklungsorganisationen, die die erste Überprüfung durch KI, Sicherheitsscans sowie Teamregeln in ihren bestehenden Pull-Request-Prozessen integrieren möchten. Die Plattform bietet eine klare Struktur bezüglich der verfügbaren Funktionen und Pakete. Allerdings muss die Rückmeldung der KI weiterhin von Menschen bewertet werden. Zudem sollten Teams, die mit privatem Code arbeiten, zunächst eine Risikobewertung der Daten sowie des Anbieters durchführen.

Häufige Fragen

Was macht Sourcery hauptsächlich?

Es prüft automatisch Pull-Requests, erstellt Zusammenfassungen der Änderungen sowie Zeile für Zeile Vorschläge und scannt außerdem nach Sicherheitsproblemen im Repository.

Unterstützt Sourcery GitLab?

Es wird GitLab.com sowie selbst gehostetes GitLab unterstützt, außerdem GitHub.com und GitHub Enterprise Server.

Ist Sourcery kostenlos?

Offene Repositorien und Open-Source-Projekte können das kostenlose Abo nutzen, während private Repositorien in der Regel zunächst 14 Tage lang getestet werden können, bevor man sich für ein Pro-Abo oder ein höheres Paket entscheidet.

Wie viel kostet Sourcery?

Pro kostet 12 US-Dollar/Sitz/Monat, Team 24 US-Dollar/Sitz/Monat; für Enterprise wird ein individueller Kostenvoranschlag benötigt. Bei Jahreszahlung spart man 20 %.

Welche Sicherheitsprobleme kann es scannen?

Die offiziellen Dokumente listen Schlüssel, statische Anwendungs-Sicherheit, Infrastructure as Code, Abhängigkeits- und Lizenzscans auf.

Wird Sourcery Modelle mit Code trainieren?

Offizielle Angaben zufolge werden Sourcery sowie die Anbieter seiner Modell-Dienste keine Kundenkodier oder -nachrichten zur Schulung der Modelle verwenden.

Unterstützt Sourcery Self-Hosting?

Unterstützung vorhanden, aber Self-Hosting gehört zu den Enterprise-Funktionen – es ist notwendig, sich an den Hersteller zu wenden, um eine Bewertung und Kostenvoranschlag zu erhalten.

Kann man die eigenen großen Modelle des Unternehmens verwenden?

Das Team verfügt über eigene Fähigkeiten für große Modelle; die genauen Unterstützungsweisen sowie die Datenpfade sollten vor der Implementierung mit den Offiziellen abgestimmt werden.

Ist Sourcery Open Source?

Die Kern-Code-Überprüfung sowie die Sicherheitsplattform sind nicht open source; laut den offiziellen GitHub-Anleitungen wird eine MIT-Lizenz verwendet, enthält aber keinen vollständigen Code für die Produktimplementierung.