SonarQube Remediation Agent: AI navrhne opravu, SonarQube ji nejdřív ověří

Rozdíl oproti univerzálnímu AI asistentovi je proto zásadní: agent nejen píše kód, ale pracuje s konkrétními nálezy SonarQube a svůj návrh ověřuje podle stejných analytických pravidel, než jej vůbec uvidí vývojář.

Od výzkumu na NUS ke komerčnímu produktu Sonaru

Technologie původně vznikla jako AutoCodeRover, autonomní platforma AI agentů vyvíjená týmem profesora Abhika Roychoudhuryho ve výzkumné skupině Trustworthy and Secure Software na NUS Computing, tedy fakultě výpočetní techniky National University of Singapore. Systém spojoval velké jazykové modely s technikami vyhledávání v kódu a řešil úlohy, jako je ladění, oprava problémů a refaktoring.

Sonar spin-off AutoCodeRover koupil v únoru 2025. Akvizice poskytla firmě výzkumný základ pro začlenění agentické opravy programů do existující platformy zaměřené na kvalitu a bezpečnost kódu.

Výzkumný původ ale neznamená automatickou garanci komerční spolehlivosti. NUS Computing uvedla, že AutoCodeRover patřil mezi tři nejlepší systémy v testu SWE-bench, který vychází z reálných problémů v softwarových projektech. Výsledek ukazuje schopnosti technologie ve výzkumném měřítku, není však zárukou úspěšné opravy každého produkčního problému.

Proč se testovalo právě v Singapuru

Agent byl vyvíjen a testován v Singapuru společně s tamními inženýry a Infocomm Media Development Authority (IMDA), singapurským úřadem pro rozvoj informačních a komunikačních technologií, ještě před globálním uvedením. Sonar oznámil globální uvedení SonarQube Remediation Agent na konferenci ATxSummit 2026 v Singapuru v květnu 2026.

Singapurská etapa propojuje tři části příběhu produktu: výzkum NUS dodal technologii pro automatizované opravy programů, Sonar ji přizpůsobil podnikovým pracovním postupům s ověřováním kódu a spolupráce s IMDA pomohla technologii testovat v prostředí, které klade důraz na odpovědné nasazování softwaru vytvořeného s pomocí AI.

Proč jsou automatické opravy důležité v éře AI-generovaného kódu

Programovací nástroje s AI mohou zvýšit rychlost, s jakou týmy software vytvářejí. S větším objemem kódu však obvykle přichází i více práce spojené s kontrolou, údržbou a opravami. Nejde přitom jen o kód napsaný umělou inteligencí — stejné problémy se spolehlivostí, udržovatelností nebo bezpečností mohou vzniknout i v čistě lidsky napsaném kódu.

SonarQube Remediation Agent je navržen pro oba případy. Vychází z nálezů SonarQube a může navrhovat opravy kódu vytvořeného člověkem i AI, přičemž konečné rozhodnutí o přijetí změny zůstává na vývojářích.

Tento model „člověk ve smyčce“ je důležitý zejména pro firemní uživatele. Ověřený návrh může omezit rutinní ladění a pomoci postupně snižovat technický dluh. Ověření má však své hranice: závisí na tom, co SonarQube dokáže odhalit, jaké jazyky a integrace agent podporuje a jak kvalitní jsou testy i proces kontroly změn v daném repozitáři.

Co nástroj řeší — a co ne

Obchodní argument je částečně obranný. Pokud AI urychlí tvorbu softwaru, firmy potřebují odhalovat chyby a bezpečnostní slabiny, aniž by musely stejným tempem navyšovat ruční kontrolu. Zprávy ze Singapuru popisují agenta jako nástroj pro omezení kybernetických a provozních rizik spojených s AI-generovaným kódem, včetně možnosti, že chyby povedou k problémům se službami.

Agent ale není univerzální zárukou bezpečného softwaru. Jeho přístup je užší a praktičtější: najít konkrétní definovaný problém, vygenerovat opravu, nezávisle ji znovu analyzovat a ponechat finální rozhodnutí vývojářům. Může zkrátit cestu od nálezu k navrženému řešení, nenahrazuje však testování, code review, bezpečnostní opatření ani interní pravidla pro používání AI.

Sonar uvádí, že agent pracuje pouze s ověřenými nálezy SonarQube, a pro problémy, na které se vztahuje, hlásí míru falešně pozitivních výsledků 3,2 %. Jde o produktovou metriku uváděnou výrobcem, nikoli o nezávislou záruku přesnosti napříč všemi repozitáři.

Měřítko a pozice na trhu

Sonar uvádí, že jeho platforma denně analyzuje 750 miliard řádků kódu a používá ji více než sedm milionů vývojářů, mimo jiné v organizacích představujících 75 % společností z žebříčku Fortune 100. Tyto údaje se týkají širší platformy Sonaru, nikoli objemu oprav provedených samotným Remediation Agentem.

V širším trhu se produkt může potkávat s nástroji jako Cursor, GitHub Copilot nebo Anthropic Claude. Ty jsou však obecnějšími programovacími asistenty. Sonar svůj produkt staví spíše jako vrstvu detekce, opravy a ověřování než jako další nástroj, který pouze generuje kód.

Praktický závěr pro vývojářské týmy

Hlavní příslib SonarQube Remediation Agent lze shrnout jednoduše:

AI navrhne opravu ověřeného problému a analytický systém ji zkontroluje dříve, než ji vývojář přijme.

Týmy, které o podobném přístupu uvažují, by si měly položit především praktické otázky:

• Podporuje agent používaný programovací jazyk a integraci s repozitářem?
• Jsou nálezy v SonarQube dostatečně konkrétní, aby z nich vznikaly užitečné opravy?
• Dokážou vývojáři kontrolovat výsledné pull requesty a ověřit chování také prostřednictvím testů, nejen statickou analýzou?
• Má organizace pravidla pro bezpečnost, závislosti a změny vytvořené pomocí AI?

Příběh od NUS k Sonaru ukazuje, jak se výzkum automatizovaných oprav programů může proměnit v komerční pracovní postup pro vývojáře. Hodnota produktu však nebude stát jen na novosti generování kódu. Rozhodovat bude především spolehlivost nálezů, kvalita ověřovací smyčky a důslednost lidí, kteří navržené změny kontrolují.