Gate CLI no GitHub
Antecipa o teste de segurança LLM pro shift-left. A CLI `doesitdefend` e a GitHub Action autenticam com uma chave de API didk_, escopam a execução pelo diff (system_prompt / tools / lista watch do .doesitdefend.yml) e postam o veredito como check + comentário do PR em minutos.
A integração de CI leva o teste de segurança LLM para onde as mudanças de código são revisadas. A CLI autentica com uma chave didk_, delimita a execução pelo diff, e a GitHub Action publica o veredito onde os revisores já olham.
Esta página cobre a ferramenta. O fluxo completo do pull request — o que a App faz com um webhook de ponta a ponta — é o concept PR Diff Red-Team Gate.
Pontos-chave
- Chaves didk_ são escopadas por organização e revogáveis em /settings/api-keys.
- Seleção de probes consciente do diff: só rodam as categorias OWASP que a mudança encosta, mantendo o CI rápido.
- Modos de veredito: regression (padrão: falha só em queda real de postura), findings (qualquer achado novo falha), never (apenas consultivo).
- Comentário do PR é idempotente: re-execuções sobrescrevem o anterior em vez de empilhar.
Setup (5 minutos)
- Crie uma didk_ em /settings/api-keys e guarde como segredo DOESITDEFEND_API_KEY do repo.
- Adicione .doesitdefend.yml na raiz declarando target.endpoint + arquivos de prompt observados.
- Use a GitHub Action em .github/workflows/, ou rode doesitdefend scan de qualquer CI.
A configuração é propositalmente curta: instale a CLI, exporte uma chave e adicione a Action ao workflow, ou rode o scan de qualquer etapa de CI. O manifesto (.doesitdefend.yml) declara o que observar, então o escopo vive no repositório, não em um painel.
O que aparece no PR
- Verificação do GitHub com título (Referência registrada / Regressão detectada / Melhoria).
- Comentário idempotente com a categoria diff-selecionada e evidência por achado.
- A referência é escolhida automaticamente a partir da execução comparável mais recente no mesmo alvo nos últimos 30 dias (`BASELINE_MAX_AGE_DAYS`).
Um pull request recebe um check run e um comentário idempotente. A referência é a execução comparável mais recente do mesmo alvo dentro de uma janela de 30 dias, então o veredito descreve uma mudança em relação ao que já foi testado — não um julgamento absoluto do branch.
Recursos relacionados