Alles Gute zum 1. Geburtstag, Snyk Code!

Snyk Code wird eins! In den letzten zwölf Monaten haben wir zahlreiche Meilensteine erreicht. Heute laden wir Sie ein, gemeinsam mit uns zurückzublicken, zu feiern und einen Blick in die Zukunft der Code-Sicherheit zu werfen.

Von DeepCode zu Snyk Code

Snyk Code basiert auf einer einzigartigen Engine und branchenführenden, forschungsbasierten Prozessen. Seine Wurzeln reichen bis zur „Big Code“-Bewegung von 2013 zurück.

Der Begriff Big Code beschreibt die zunehmende Verfügbarkeit von Programmen in Open-Source-Repositories. Anfang 2016 hostete GitHub beispielsweise 30 Millionen öffentliche Repositories. Vier Jahre später, im März 2020, war diese Zahl auf über 128 Millionen gestiegen.

Seit 2007 wird in akademischen Kreisen darüber diskutiert, wie Big Code die Programmierung voranbringen kann, indem das Wissen der globalen Entwickler-Community genutzt wird.

Es gab jedoch mehrere Hindernisse. Big Code übernimmt alle Probleme von Big Data und bringt aufgrund der Besonderheiten von Quellcode weitere mit sich, etwa unendliche Laufzeitverhaltensweisen und die Notwendigkeit von Näherungsverfahren. Quellcode wie einfachen Text zu behandeln – wie es moderne Machine-Learning-Tools tun – greift viel zu kurz.

Die Grundlage für Snyk Code entstand im SRILab von Professor Martin Vechev an der Eidgenössischen Technischen Hochschule Zürich (ETH). Ab 2013 forschten der Doktorand Veselin Raychev (heute Head of Artificial Intelligence bei Snyk), Professor Vechev und weitere Forschende im Bereich Machine Learning und entwickelten Prototypen für KI-basierte Systeme. Diese KIs lernten anhand von Open-Source-Programmen, indem sie statische Codeanalyse auf Basis symbolischer Schlussfolgerungen mit datengestützten Machine-Learning-Methoden kombinierten.

Raychev erhielt die ETH-Medaille Zürich für eine herausragende Dissertation sowie die renommierte Auszeichnung ACM Doctoral Dissertation Award, Honorable Mention, für seine Doktorarbeit zum Machine Learning mit Big Code. In den 40 Jahren, in denen dieser Preis verliehen wurde, war er der dritte Europäer und der erste Bulgare, der diese Anerkennung erhielt.

Auf Grundlage der Erkenntnisse aus seiner Doktorarbeit tat sich Raychev 2016 mit Vechev und Boris Paskalev (heute Head of Product, AI for Code bei Snyk) zusammen, um DeepCode zu gründen und die Forschung in ein leicht zugängliches Tool zu verwandeln.

Eine Herausforderung beim Lernen anhand von Big Code ist die Skalierung. Man muss riesige Mengen echten Codes schnell genug verarbeiten können, um Iterationen durchzuführen. DeepCode trug zu mehreren bahnbrechenden Verbesserungen bei, von denen wir heute profitieren. Machine Learning wird beispielsweise durch die Möglichkeit ermöglicht, tiefgreifende semantische Analysen durchzuführen, ohne Abstriche bei der Geschwindigkeit zu machen. Dank dieser erweiterten Funktionen konnte die hochmoderne Engine von DeepCode das Regelwerk aufbauen und pflegen, das die stetig wachsende und präzise Wissensbasis unterstützt. Weitere Details finden Sie in unserem Blogbeitrag zu den Technologien hinter Snyk Code sowie in Beispielen aus Veröffentlichungen und Forschungssystemen.

Die DeepCode-Gründer (von links): Veselin Raychev, Boris Paskalev und Martin Vechev.

DeepCode wollte die tiefgreifende semantische Analyse vereinfachen, indem die Komplexität verborgen und ein intuitives, leicht zugängliches Tool bereitgestellt wurde – und das Feedback von Hunderttausenden Entwicklerinnen und Entwicklern zeigt, dass dies gelungen ist. Die Scan-Geschwindigkeit und die zuverlässigen Regelwerke waren entscheidende Faktoren für den Erfolg von DeepCode. Ein weiterer Grundstein für eine weltweite Nutzerbasis war der entwicklerorientierte Ansatz, den die KI-gestützte Engine von DeepCode konsequent umsetzte. Machine Learning ermöglichte es DeepCode, Nutzerinnen und Nutzern die Ergebnisse zu erklären und Beispiele für empfohlene Korrekturen bereitzustellen. So konnten Entwicklerinnen und Entwickler verstehen, warum ihr Code Schwachstellen aufwies und wie sie diese beheben konnten.

Als Snyk und DeepCode 2020 Gespräche über einen Zusammenschluss aufnahmen, passte alles. Die Engine von DeepCode war ein technischer Durchbruch, der den Bereich der statischen Analyse grundlegend veränderte. Snyk verfügte über eine ausgereifte technische Plattform, Sicherheitsexpertise, etablierte Vertriebs- und Marketingabteilungen sowie ein internationales Netzwerk. Am wichtigsten war, dass beide Unternehmen der internen Kultur und einer konsequenten Ausrichtung auf Entwicklerinnen und Entwickler Priorität einräumten. So wurde DeepCode Teil von Snyk.

Nach einigen Monaten intensiver Arbeit wurde Snyk Code auf Basis der DeepCode-Engine entwickelt und in die Snyk-Plattform integriert; zugleich wurde das bestehende Regelwerk überarbeitet. Das Team, verstärkt durch führende Sicherheitsforscherinnen und -forscher sowie Plattformentwicklerinnen und -entwickler von Snyk, ergänzte umfangreiche, kuratierte Inhalte und eine Datenflussvisualisierung und bereitete das Produkt für den Betrieb auf Snyk vor. Noch vor der Beta-Veröffentlichung hatte Snyk Code bereits zahlende Kunden. Das bewies, dass das Produkt wichtige Anforderungen am Markt erfüllte, und zeigte zugleich das große Vertrauen, das die Community Snyk entgegenbringt. Bestandskunden erhielten Anfang 2021 Zugang zu Snyk Code; im April wurde Snyk Code Teil des Freemium-Programms. Den Geburtstag von Snyk Code festzulegen, war zunächst nicht ganz einfach. Es gab mehrere gute Möglichkeiten – etwa den Zusammenschluss von Snyk und DeepCode oder den Zeitpunkt, zu dem Bestandskunden Zugang erhielten. Wir entschieden uns schließlich für den Tag, an dem Snyk Code allen zur Verfügung stand: den 6. Mai.

Snyk Code heute!

Ein Jahr später: Wo steht Snyk Code heute? Werfen wir einen Blick auf einige Zahlen:

Snyk Code meldete allein im vergangenen Monat mehr als 2,5 Millionen Issues in über einer Viertelmillion Projekten. Mehr als tausend Unternehmen weltweit vertrauen heute darauf, dass Snyk Code ihre Projekte scannt.

Wir haben mit drei Programmiersprachen begonnen und unterstützen inzwischen JavaScript, TypeScript, Java, PHP, C#, Ruby, Python, Swift, Kotlin und Go.

IDE-Integrationen für Visual Studio Code, IntelliJ, WebStorm, PyCharm, GoLand und Visual Studio wurden hinzugefügt.

Kontinuierliche Innovation hat eine tiefgreifende, kontextbezogene semantische Codeanalyse mit branchenführender Geschwindigkeit ermöglicht. Unsere vielseitige Engine unterstützt die Sicherheit von GraphQL und kann in jeder unterstützten Sprache Trojan-Source-Angriffe erkennen und verhindern. Dank der Logik von Snyk Code können Entwicklerinnen und Entwickler außerdem Vorschläge ignorieren, die für sie nicht relevant sind.

Das Team hinter Snyk Code ist enorm gewachsen. Mehrere Engineering-Gruppen arbeiten am Regelwerk, an der Engine, am Web-Angebot und an IDE-Integrationen. Zürich spielt nach wie vor eine wichtige Rolle, doch inzwischen gehören Menschen aus ganz Nordamerika, Asien, Australien und Europa zum Snyk-Code-Team.

Die Entwicklung von Snyk Code ist in vier Hauptteams aufgeteilt: die Entwicklung der Engine, der Aufbau und die Pflege des Regelwerks für die Wissensbasis, das Frontend und die Nutzererfahrung sowie die IDE-Plugins. Jedes dieser Teams ist wiederum in Unterteams gegliedert. Damit ist Snyk Code ein bedeutendes Produkt innerhalb der Plattform.

Im ersten Jahr wurde Snyk Code in die Snyk-Plattform integriert, baute eine solide Basis unterstützter Programmiersprachen und IDEs auf, erhielt neue Scan-Funktionen und etablierte sich als wichtiges Snyk-Produkt. Doch wir fangen gerade erst an …

Ausblick

Snyk Code ist ein ausgesprochen aktives einjähriges Produkt, und im kommenden Jahr wird es einen weiteren großen Sprung nach vorn machen. Auf einige Highlights können Sie sich freuen:

• Reporting: TopCoat ist vor Kurzem zu Snyk gestoßen und wird die Reporting-Funktionen der Snyk-Plattform auf ein ganz neues Niveau heben.

• Programmiersprachen: Snyk Code hat bereits im ersten Jahr eine beeindruckende Auswahl unterstützter Programmiersprachen aufgebaut. Weitere Sprachen wie Swift und Apex kommen hinzu. Außerdem haben wir Funktionen ergänzt, mit denen sich Regeln für unterstützte Sprachen noch schneller entwickeln lassen.

• Engine-Funktionen: Wir befinden uns derzeit in der Schlussphase, in der wir neue Funktionen ergänzen, die die Möglichkeiten Ihrer statischen Anwendungssicherheitstests (SAST) erweitern werden.

• IDE-Integrationen: Entwicklerinnen und Entwickler dort abzuholen, wo sie arbeiten, und Ergebnisse direkt in ihrer Entwicklungsumgebung bereitzustellen, hat für uns höchste Priorität. Im kommenden Jahr wollen wir unsere Präsenz in IDEs ausbauen und stärken.

• Wachstum der Community: Snyk Code ist kostenlos und kann für alle Open-Source-Projekte ausprobiert werden. SAST-Scans sind jedoch noch längst nicht selbstverständlich. Wir werden uns weiterhin dafür einsetzen, der Community das Wissen und die Produkte bereitzustellen, die sie braucht.

• Produktfunktionen: SAST bildet die Schnittstelle zwischen Entwicklerinnen und Entwicklern, Sicherheitsexpertinnen und -experten sowie dem Management – und jede Rolle hat eigene Anforderungen. Durch den engen Austausch mit unseren Nutzerinnen und Nutzern konnten wir konkrete Herausforderungen erkennen und eine Roadmap mit neuen Produktfunktionen entwickeln, die diese adressieren.

• Die Vision von Snyk: In seiner SnykCon-Keynote 2021 stellte Guy Podjarny (einer der Gründer von Snyk) seine Vision für die Zukunft von Snyk vor. Snyk Code und seine leistungsstarke Logik-Engine werden entscheidend dazu beitragen, diese Ideen Wirklichkeit werden zu lassen.

Snyk Code war ein rundum quirliges Kleinkind und wird im zweiten Jahr noch schneller wachsen. Mit vielen spannenden Plänen am Horizont gibt es keinen besseren Zeitpunkt, es auszuprobieren und Teil der entwicklerorientierten Familie zu werden.