Copilot क्लाउड एजेंट की सुरक्षा, जोखिम और सीमाएँ
GitHub Copilot क्लाउड एजेंट को सुरक्षा और शासन को ध्यान में रखकर शुरू से ही डिज़ाइन किया गया है। जबकि यह एक स्वायत्त एजेंट को काम सौंपने के नए तरीकों को खोलता है, यह आपके संगठन के मौजूदा रेलिंग के अंदर काम करता है और अपनी सुरक्षा जोड़ता है। यह इकाई बताती है कि एजेंट आपकी सुरक्षा नीतियों को कैसे लागू करता है, उन जोखिमों और शमन पर प्रकाश डालता है जिनके बारे में आपको पता होना चाहिए, और इसकी वर्तमान सीमाओं के बारे में अपेक्षाएं निर्धारित करता है।
इस इकाई के अंत तक, आप निम्न में सक्षम होंगे:
- Copilot क्लाउड एजेंट के सुरक्षा मॉडल और अंतर्निहित सुरक्षा का वर्णन करें।
- एजेंट का उपयोग करने से जुड़े मुख्य जोखिमों और GitHub द्वारा लागू होने वाले शमन की पहचान करें।
- एजेंट के वर्कफ़्लो की ज्ञात सीमाओं और तदनुसार अपने उपयोग की योजना बनाने के लिए अनुकूलता को पहचानें।
सुरक्षा मॉडल और अंतर्निहित सुरक्षा
सुरक्षा Copilot क्लाउड एजेंट के लिए मूलभूत है। यह आपके मौजूदा नियंत्रणों का सम्मान करता है और आपके वर्कफ़्लो को सुरक्षित रखने के लिए अपनी स्वयं की रेलिंग लागू करता है:
- शासन के अधीन - संगठन और उद्यम सेटिंग्स उपलब्धता को नियंत्रित करती हैं; आपकी सभी सुरक्षा नीतियां एजेंट पर लागू होती रहती हैं।
- प्रतिबंधित वातावरण - एजेंट GitHub Actions पर एक सैंडबॉक्स के अंदर फ़ायरवॉल इंटरनेट एक्सेस और आपके रिपॉजिटरी तक केवल-पढ़ने के लिए पहुंच के साथ चलता है।
- शाखा सीमाएँ - यह केवल सह-पायलट/, से शुरू होने वाली शाखाओं को बना सकता है और आगे बढ़ा सकता है, और सभी शाखा सुरक्षा और आवश्यक जांच अभी भी लागू होती हैं।
- अनुमति-जागरूक - एजेंट केवल लिखने की अनुमति वाले उपयोगकर्ताओं को जवाब देता है। दूसरों की टिप्पणियों को नजरअंदाज कर दिया जाता है।
- बाहरी-सहयोगी नियम - एजेंट से ड्राफ्ट पीआर को कार्रवाई चलाने से पहले लिखने की अनुमति के साथ उपयोगकर्ता द्वारा अनुमोदन की आवश्यकता होती है। जिस व्यक्ति ने पीआर का अनुरोध किया वह इसे मंजूरी नहीं दे सकता।
- अनुपालन और एट्रिब्यूशन - सभी कमिट उस डेवलपर के साथ सह-लेखक होते हैं जिसने कार्य सौंपा है या पीआर का अनुरोध किया है, इसलिए एट्रिब्यूशन स्पष्ट है। मौजूदा "आवश्यक अनुमोदन" नियम बरकरार हैं।
जोखिम और शमन
हालाँकि Copilot Cloud Agent सुरक्षा को ध्यान में रखकर बनाया गया है, फिर भी ऐसे जोखिम हैं जिनके लिए आपको योजना बनानी चाहिए। GitHub उन्हें कम करने के लिए शमन लागू करता है:
जोखिम: एजेंट कोड पुश करता है
शमन: केवल लेखन पहुंच वाले उपयोगकर्ता ही एजेंट के काम को ट्रिगर कर सकते हैं। पुश शाखाओं/शाखाओं तक
copilotही सीमित हैं (मुख्य/मास्टर नहीं)। एजेंट की साख केवल सरल धक्का की अनुमति देती है (कोई प्रत्यक्षgit pushनहीं)। GitHub एक्शन वर्कफ़्लो तब तक नहीं चलेंगे जब तक कि कोई लेखन-अनुमति उपयोगकर्ता "वर्कफ़्लो स्वीकृत करें और चलाएँ" पर क्लिक नहीं करता. अनुरोधकर्ता आवश्यक अनुमोदन बनाए रखते हुए एजेंट के पीआर को मंजूरी नहीं दे सकता है।जोखिम: संवेदनशील जानकारी तक पहुंच
शमन: एजेंट का इंटरनेट एक्सेस डिफ़ॉल्ट रूप से फ़ायरवॉल-प्रतिबंधित है; आप प्रति नीति फ़ायरवॉल को अनुकूलित या अक्षम कर सकते हैं।
जोखिम: शीघ्र इंजेक्शन
शमन: एजेंट को उपयोगकर्ता इनपुट पास करने से पहले छिपे हुए वर्ण (जैसे HTML टिप्पणियाँ) फ़िल्टर किए जाते हैं। इससे टिप्पणियों या मुद्दों में छिपे हानिकारक निर्देशों की संभावना कम हो जाती है।
ये नियंत्रण आपको एजेंट का उपयोग करने के लिए एक सुरक्षित आधार रेखा देते हैं, लेकिन आपको अभी भी आउटपुट की सावधानीपूर्वक समीक्षा करनी चाहिए जैसे आप किसी भी टीम के सदस्य द्वारा लिखे गए कोड की समीक्षा करेंगे।
ज्ञात सीमाएँ
वर्कफ़्लो सीमाएँ
- केवल उसी रिपॉजिटरी में परिवर्तन कर सकते हैं जैसे असाइन किए गए मुद्दे या पीआर।
- संदर्भ दायरा डिफ़ॉल्ट रूप से असाइन किए गए रिपॉजिटरी तक सीमित है (एमसीपी के माध्यम से विस्तृत किया जा सकता है)।
- प्रति कार्य ठीक एक पुल अनुरोध खोलता है।
- किसी मौजूदा पीआर को संशोधित नहीं कर सकता जिसे उसने नहीं बनाया था (यदि आपको GitHub Copilot कोड समीक्षा का लाभ उठाकर प्रतिक्रिया की आवश्यकता है तो इसे समीक्षक के रूप में जोड़ें)।
संगतता सीमाएँ
- कमिट पर हस्ताक्षर नहीं करता है। यदि आपको हस्ताक्षरित कमिट की आवश्यकता है, तो आपको मर्ज करने से पहले कमिट इतिहास को फिर से लिखना होगा।
- GitHub-होस्टेड Ubuntu x64 धावकों की आवश्यकता है। स्व-होस्टेड धावक समर्थित नहीं हैं।
- प्रबंधित उपयोगकर्ता खातों के स्वामित्व वाली व्यक्तिगत रिपॉजिटरी के लिए उपलब्ध नहीं है (धावक अनुपलब्ध).
- सामग्री बहिष्करणों का सम्मान नहीं करता है; एजेंट बहिष्कृत फ़ाइलों को देख और अपडेट कर सकता है।
- "सार्वजनिक कोड से मेल खाने वाले सुझाव" नीति एजेंट द्वारा लागू नहीं की जाती है; संदर्भ प्रदान नहीं किए जा सकते हैं।
- केवल GitHub-होस्टेड रिपॉजिटरी के साथ काम करता है।
- आप एजेंट द्वारा उपयोग किए जाने वाले AI मॉडल को नहीं बदल सकते; इसे GitHub द्वारा चुना गया है।
रेलिंग और सीमाओं को स्पष्ट करने के साथ, आप काम सौंपना शुरू करने, प्रगति का पालन करने और अपने मानक पीआर वर्कफ़्लो का उपयोग करके परिणामों पर पुनरावृति करने के लिए तैयार हैं।