The Pulse
Vercel apre la revisione automatizzata della sicurezza ai team Pro ed Enterprise
Vercel Security Review è ora disponibile in beta pubblica per i team Pro ed Enterprise: esamina i push verso i repository GitHub collegati e riporta i risultati in una dashboard. L’analisi del codice sorgente include correzioni suggerite e
AI.info Team · Scritto con l’IA · verificato ·
Vercel ha reso disponibile Security Review in beta pubblica per i team Pro ed Enterprise. Una volta attivato, il servizio esamina automaticamente ogni push verso un repository GitHub collegato e riporta i risultati nella dashboard Vulnerabilities. Le revisioni vengono avviate dagli eventi di push su GitHub, anziché dalle pull request, quindi il processo copre anche i push diretti e forzati verso un branch di produzione.
Ogni revisione è avviata da un push su GitHub
Security Review entra in funzione quando viene eseguito un push di codice verso un repository collegato. Se un singolo push riguarda più di un progetto, Vercel esamina insieme tutti i progetti interessati. Una revisione può quindi essere eseguita sia quando una modifica arriva tramite una pull request sia quando viene inviata direttamente a un branch, incluso quello di produzione.
Per ogni vulnerabilità rilevata vengono registrati il progetto, l’ambiente, il branch e il commit associati al problema. La segnalazione include un riepilogo, una correzione suggerita e una valutazione della gravità generata dall’IA. I dettagli registrati sul progetto e sul codice aiutano a identificare dove si trova il problema, mentre la correzione suggerita e la valutazione forniscono informazioni ai team che esaminano il rapporto.
I risultati compaiono nei controlli e nelle pull request
Security Review aggiunge un proprio controllo GitHub a ogni commit che esamina. Quando è presente una pull request, il servizio pubblica i risultati anche come commenti di revisione, con link alle singole segnalazioni. Nei repository pubblici, i dettagli delle segnalazioni rimangono nella dashboard di Vercel.
I team possono affidare un rapporto su una vulnerabilità a Vercel Agent selezionando «Correggi con Vercel Agent». L’agente propone una correzione e apre una pull request che il team può esaminare. La modifica non viene integrata finché non viene approvata. I team che preferiscono usare un agente di programmazione possono accedere ai risultati con il comando vercel security vulnerabilities nella Vercel CLI, oppure copiare una segnalazione in formato Markdown o JSON.
Le policy aggiungono contesto specifico per progetto
I team possono scrivere policy di sicurezza in linguaggio naturale per fornire a Security Review più contesto sul loro modo di sviluppare. Una policy può applicarsi a tutti i progetti o a progetti specifici. I team impostano una policy valida per l’intero team nelle impostazioni di Agent e una policy specifica per un progetto nelle impostazioni di sicurezza di quel progetto.
Il comando della Vercel CLI richiede la versione 65.10.0 o successiva. Le opzioni Markdown e JSON offrono un altro modo per esportare i dettagli delle segnalazioni dalla dashboard e usarli con l’agente di programmazione del team.
Controlli del codice sorgente, non un audit di sicurezza
Security Review analizza il codice sorgente. Vercel precisa che non si tratta di un audit di sicurezza e che il servizio non esegue test a runtime né penetration test. L’azienda avverte inoltre che il servizio aiuta i team a trovare vulnerabilità, ma non garantisce che un’applicazione ne sia priva.
Le revisioni sono gratuite fino al 10 novembre 2026. Vercel afferma che Security Review viene fatturato alla tariffa di Vercel Agent: l’inferenza del fornitore alla tariffa dei token sottostante, senza maggiorazioni, più la Vercel Token Rate di 0,25 dollari per milione di token. Il totale comprende i token di input, quelli nella cache e quelli di output. Poiché le revisioni vengono eseguite a ogni push su GitHub, i costi variano in base alla frequenza con cui un team effettua push e alla quantità di codice modificato.
I team possono attivare Security Review nelle impostazioni di Agent. Vercel rimanda inoltre gli utenti alla documentazione e all’annuncio per maggiori informazioni sulla funzionalità.