Ces derniers jours, GitHub a annoncé plusieurs évolutions significatives, et certaines nécessiteront de payer. On commence avec la sécurité, pour laquelle l’entreprise avait préparé le terrain. Il y a une semaine, elle communiquait ainsi sur les 39 millions de secrets que son service Secret Scanning avait trouvés jusqu’à présent. L’outil sert à analyser le code pour y trouver des clés d’API, mots de passe, jetons et autres informations ne devant pas se retrouver devant les yeux des utilisateurs.

Sécurité en services détachés

GitHub indiquait alors qu’en dépit des améliorations continuelles sur la sécurité, le désir de productivité et de confort prendraient le dessus. Par commodité, des secrets peuvent ainsi fuiter pendant les commits. L’autre source de fuite selon GitHub réside dans l’historique git, qui peut révéler accidentellement des informations sensibles dans le dépôt.

En conséquence, GitHub a annoncé hier soir plusieurs changements. Le plus important est la disponibilité des services Secret Protection et Code Security en produits autonomes. Selon l’entreprise, leur disponibilité limitée aux abonnements les plus onéreux était un frein pour nombre d’entreprises. En outre, une fonction d’évaluation gratuite des risques est proposée pour tous les dépôts GitHub, basée sur l’organisation et les éventuels secrets révélés. Cette recherche de secrets a également été intégrée dans Copilot pour les données non structurées (comme les mots de passe) et renforcée dans l’analyse des pushs.

GitHub pousse vers des campagnes de sécurité

La société, filiale de Microsoft, pousse depuis vers une hausse de la sécurité du code et des dépôts associés. Hier soir, elle a même appelé à des campagnes de sécurité, destinées à tous les clients disposant d’une offre Advanced Security ou Code Security. Elles avaient été lancées en préversion l’année dernière. Objectif : réduire la dette de sécurité.

Les campagnes doivent permettre aux équipes produits et sécurité de mieux communiquer. La direction est donnée par l’équipe de sécurité, qui définit les risques à traiter en priorité. Ce référentiel sert de cadre à la campagne et peut être accompagné d’un modèle prédéfini, comme le Top 10 des types de failles par MITRE. GitHub remonte également des statistiques, sur lesquelles l’équipe peut s’appuyer.

Après quoi, la campagne est lancée avec un calendrier. Les développeurs concernés reçoivent une notification, selon le contexte (place dans l’équipe, section du projet, etc.). Les tâches dévolues peuvent se traiter comme « n’importe quel autre travail de fonctionnalité ». À ceci près que l’assistant Copilot Autofix fait partie intégrante du processus. Il commence alors à suggérer des corrections pour l’ensemble des alertes de la campagne, accompagnées d’un « texte personnalisé ». Chaque campagne a au moins un ou une responsable pour faciliter les échanges avec l’équipe produit.

Par rapport à la préversion lancée l’année dernière, les campagnes ont plusieurs nouvelles fonctions. L’équipe de sécurité peut notamment itérer sur la portée des campagnes et les enregistrer sous forme de campagnes provisoires, avant leur lancement effectif. Les responsables peuvent aussi créer automatiquement des enjeux dans les dépôts à partir des alertes présentes dans la campagne. Surtout, ils ont maintenant accès à des statistiques agrégées reflétant la progression générale de toutes les campagnes, en cours ou passées.

Copilot : des agents partout

GitHub a annoncé il y a quelques jours plusieurs améliorations aussi pour son Copilot, tout particulièrement sur les agents, notamment la disponibilité en version stable du Mode Agent, qui avait été présenté en février.

On note aussi le lancement d’une préversion pour Model Context Protocol (MCP), conçu pour compléter le Mode Agent avec du contexte et des capacités, à la manière d’un hub où viennent se brancher des aides externes, explique GitHub. L’entreprise fournit une liste de serveurs MCP, permettant au Mode Agent de gagner en fonctions comme la recherche à travers des dépôts multiples, dans l’idée de le transformer en aide de camp.

Un nouveau forfait Pro+ avec des requêtes premium

GitHub Copilot dispose en outre désormais des modèles Claude 3.5, 3.7 Sonnet et 3.7 Sonnet Thinking d’Anthropic, Gemini 2.0 Flash de Google et o3-mini d’OpenAI pour les développeurs disposant d’un abonnement payant.

Pour compenser l’arrivée des nouveaux modèles et outils, l’entreprise impose quelques limites. Toutes les tâches et actions faisant appel aux derniers modèles ajoutés, comme Claude 3.7 Sonnet, sont soumises à un plafond de « requêtes premium ». Le nombre de requêtes disponibles dépend de la formule d’abonnement : 300 pour Pro et Business, 1 000 pour Enterprise. Ces réserves seront appliquées respectivement les 5, 12 et 19 mai.

GitHub précise que ces limites ne s’appliquent qu’aux nouveaux modèles. Pour les personnes se servant de l’actuel GPT-4o, rien ne change. En outre, un nouveau forfait Pro+ est proposé avec 1 500 requêtes premium pour 39 dollars par mois. Il sera nécessaire pour accéder aux « meilleures modèles, comme GPT-4.5 ». Enfin, il est possible d’acheter des requêtes premium supplémentaires à raison de 0,04 dollar l’unité quand la réserve est épuisée.

Copilot devient plus intéressant sur Windows

Si Microsoft a décliné son Copilot pour presque tous les usages, l’assistant n’a jusqu’à présent pas marqué les esprits sur Windows, où ses capacités pourraient pourtant faire quelques étincelles.

Plusieurs améliorations sont désormais disponibles sur l’ensemble des canaux de préversion pour Windows, via une mise à jour de l’application par le Microsoft Store. Toutefois, ces fonctions ne sont accessibles qu’aux États-Unis pour l’instant.

La première est une recherche détaillée pour les fichiers. Le type de recherche que l’on attend sans doute d’un système moderne aujourd’hui. Les requêtes peuvent se faire en langage naturel, par exemple « Peux-tu retrouver mon CV ? » ou « Ouvre le document de planification de voyage sur lequel je travaillais la semaine dernière ». La plupart des types de fichiers sont pris en charge, dont les .docx, .xlsx, .pptx, .txt, .pdf et .json.

L’autre fonction, Copilot Vision, permet en théorie à l’assistant de venir donner un coup de main dans n’importe quelle application tierce. Depuis Copilot, on commence par cliquer sur l’icône représentant une paire de lunettes, puis on sélectionne la fenêtre d’application ou du navigateur sur laquelle on veut pouvoir agir. Après quoi, on rédige sa demande dans Copilot, l’assistant effectuant l’opération sur la base des renseignements présents dans l’application surveillée.