SonarQube Remediation Agent tarkistaa tekoälyn ehdottamat koodikorjaukset ennen kehittäjää

SonarQube Remediation Agent on tekoälyavusteinen koodinkorjaustyökalu, jonka keskiössä on tarkistusketju. Se ei pyydä yleiskäyttöistä koodimallia keksimään muutosta tyhjästä, vaan aloittaa SonarQube Cloudin jo havaitsemasta ongelmasta, muodostaa sille korjausehdotuksen, soveltaa muutoksen eristetyssä hiekkalaatikossa ja ajaa Sonarin analyysin uudelleen ennen kuin ehdotus näytetään kehittäjälle.

Tavoitteena on auttaa organisaatioita hallitsemaan nopeamman, tekoälyavusteisen ohjelmistokehityksen riskejä ilman oletusta, että tekoälyn tuottama koodimuutos olisi automaattisesti turvallinen.

Näin SonarQube Remediation Agent toimii

Agentti käsittelee SonarQuben pull requesteista tai projektin olemassa olevasta työjonosta löytämiä, tuettuja luotettavuus-, ylläpidettävyys- ja tietoturvaongelmia. Sonarin dokumentaation mukaan se voi auttaa myös ohjelmistokomponenttianalyysissä havaittujen tiettyjen riippuvuushaavoittuvuuksien korjaamisessa.

Prosessi etenee pääpiirteissään näin:

1. SonarQube-analyysi tunnistaa ongelman.
2. Agentti muodostaa mahdollisen korjauksen.
3. Korjaus otetaan käyttöön eristetyssä hiekkalaatikossa.
4. Sonarin analyysimoottori tarkistaa, poistuiko alkuperäinen ongelma ja syntyikö muutoksesta uusia ongelmia.
5. Epäonnistunut ehdotus voidaan hylätä tai yrittää uudelleen. Onnistunut korjausehdotus tarjotaan kehittäjän hyväksyttäväksi muutoksena tai pull requestina.

Tuettuina kielinä mainitaan tällä hetkellä Java, JavaScript, TypeScript ja Python. Integraatio keskittyy SonarQube Cloudiin ja siihen liitettyihin koodipalveluihin. Dokumentaation mukaan projekteja voidaan yhdistää GitHubiin tai Azure DevOpsiin, mutta pull request -korjaukset ovat käytettävissä GitHubiin liitetyissä projekteissa.

Ero laajaan koodiavustajaan on siis olennainen. Agentti ei ainoastaan kirjoita koodia, vaan toimii SonarQuben jo tunnistamien löydösten perusteella ja tarkistaa ehdotuksensa samoilla analyysistandardeilla ennen kuin kehittäjä näkee sen.

NUS-tutkimuksesta Sonarin tuotteeksi

Teknologian lähtökohta oli AutoCodeRover, NUS Computingin Trustworthy and Secure Software -tutkimusryhmässä professori Abhik Roychoudhuryn johdolla kehitetty autonominen tekoälyagenttialusta. Järjestelmä yhdisti suuret kielimallit kehittyneisiin koodinhakumenetelmiin ja soveltui esimerkiksi virheenkorjaukseen, ongelmien ratkaisemiseen ja koodin uudelleenjärjestelyyn.

Sonar hankki AutoCodeRover-spin-offin helmikuussa 2025. Yrityskauppa antoi Sonarille tutkimukseen perustuvan pohjan agenttipohjaisen ohjelmakorjauksen liittämiseen nykyiseen koodin laadun ja tietoturvan alustaan.

Tutkimustausta tuo kuitenkin esiin tärkeän rajauksen: vertailutestien tulokset ja kaupallisen tuotteen toimintavarmuus eivät ole sama asia. NUS Computing kertoi AutoCodeRoverin sijoittuneen kolmen parhaan järjestelmän joukkoon SWE-benchissä, joka perustuu todellisiin ohjelmisto-ongelmiin. Tulos kertoo tutkimusjärjestelmän suorituskyvystä, mutta se ei takaa, että tuotantoympäristön jokainen ongelma ratkeaisi onnistuneesti.

Singapore oli kehitys- ja testausympäristö

Agenttia kehitettiin ja testattiin Singaporessa yhdessä Sonarin insinöörien ja Infocomm Media Development Authorityn eli IMDA:n kanssa ennen maailmanlaajuista julkaisua. Sonar ilmoitti julkaisevansa SonarQube Remediation Agentin maailmanlaajuisesti ATxSummit 2026 -tapahtumassa Singaporessa toukokuussa 2026.

Singapore liittyy tuotteen tarinassa kolmeen vaiheeseen: NUS:n tutkimus tarjosi ohjelmakorjauksen teknologisen perustan, Sonar sovitti sen yritysten koodintarkistusprosesseihin ja yhteistyö IMDA:n kanssa tuki teknologian testaamista ympäristössä, jossa tekoälyn vastuullinen käyttöönotto on keskeinen tavoite.

Miksi automaattista korjausta tarvitaan tekoälyn tuottamalle koodille?

Tekoälypohjaiset koodityökalut voivat kasvattaa tuotetun ohjelmiston määrää, mutta nopeampi kehitys voi samalla kasvattaa tarkistettavan ja ylläpidettävän koodin kuormaa. Riski ei koske vain tekoälyn kirjoittamaa koodia: myös ihmisten tekemään koodiin voi jäädä luotettavuus-, ylläpidettävyys- ja tietoturvaongelmia.

SonarQube Remediation Agent on tarkoitettu käsittelemään molempia tapauksia. Se hyödyntää SonarQuben löydöksiä korjausehdotusten tekemiseen riippumatta siitä, onko alkuperäinen koodi ihmisen vai tekoälyn kirjoittamaa, mutta lopullinen päätös muutoksen hyväksymisestä säilyy kehittäjällä.

Ihmisen mukanaolo on yrityksille tärkeä turvamekanismi. Tarkistettu ehdotus voi vähentää toistuvaa virheenkorjausta ja auttaa purkamaan teknistä velkaa. Tarkistus kuitenkin ulottuu vain niihin ongelmiin, jotka SonarQube pystyy havaitsemaan, ja sen hyöty riippuu tuetuista ohjelmointikielistä, integraatioista sekä projektin testeistä ja katselmointikäytännöistä.

Mitä tietoturva- ja käyttöriskejä työkalu ratkaisee – ja mitä ei?

Tuotteen liiketoimintaperuste on osin puolustuksellinen. Jos tekoälyavusteinen kehitys nopeuttaa ohjelmistojen tuottamista, organisaatiot tarvitsevat keinoja löytää virheitä ja tietoturvaheikkouksia ilman, että manuaalisen tarkistuksen määrä kasvaa samassa suhteessa. Singaporessa julkaistujen tietojen mukaan agentin tarkoitus on auttaa hallitsemaan tekoälyn tuottamaan koodiin liittyviä kyberturvallisuus- ja käyttöriskejä, kuten tilanteita, joissa ohjelmistovirheet aiheuttavat palveluhäiriöitä.

Agentti ei ole yleinen lupaus siitä, että ohjelmisto olisi turvallinen. Sen toimintamalli on rajatumpi ja käytännöllisempi: tunnista määritelty ongelma, muodosta korjaus, analysoi korjaus riippumattomasti ja jätä lopullinen päätös kehittäjille. Työkalu voi lyhentää matkaa löydöksestä korjausehdotukseen, mutta se ei poista testausten, koodikatselmointien, tietoturvakontrollien tai hallintamallien tarvetta.

Sonarin mukaan agentti toimii vain varmennettujen SonarQube-löydösten perusteella, ja yhtiö ilmoitti sen toiminta-alueen ongelmien väärien positiivisten tulosten osuudeksi 3,2 prosenttia. Kyse on toimittajan ilmoittamasta tuotemittarista, joten luku kuvaa Sonarin raportoimaa työnkulkua eikä ole riippumaton tae tarkkuudesta kaikissa koodivarastoissa.

Mittakaava ja asema markkinoilla

Sonarin mukaan sen alusta analysoi päivittäin 750 miljardia koodiriviä ja palvelee yli seitsemää miljoonaa kehittäjää. Asiakkaisiin kuuluu yhtiön mukaan myös organisaatioita, jotka edustavat 75:tä prosenttia Fortune 100 -yrityksistä. Luvut koskevat Sonarin koko alustaa, eivät Remediation Agentin omaa korjausmäärää.

Sonar asemoi tuotteen tekoälyavusteisen ohjelmistokehityksen koodintarkistus- ja korjauskerrokseksi. Tämä erottaa sen työkaluista, joiden päätehtävä on koodin tuottaminen: Remediation Agent aloittaa havaitusta ongelmasta ja validoi ehdotetun muutoksen ennen sen tarjoamista katselmoitavaksi.

Mitä tämä tarkoittaa ohjelmistotiimeille?

Tuotteen keskeinen lupaus voidaan tiivistää näin: tekoäly ehdottaa korjausta varmennettuun löydökseen, minkä jälkeen analyysijärjestelmä tarkistaa korjauksen ennen kehittäjän hyväksyntää.

Käyttöönottoa harkitsevan tiimin kannattaa kysyä ainakin seuraavaa:

• Tukeeko agentti projektin ohjelmointikieltä ja käytössä olevaa repositoriointegraatiota?
• Ovatko tiimin SonarQube-löydökset riittävän täsmällisiä hyödyllisten korjausten tuottamiseen?
• Pystyvätkö kehittäjät tarkistamaan syntyvät pull requestit ja arvioimaan toiminnan myös staattisen analyysin ulkopuolella?
• Onko organisaatiolla selkeät kontrollit tietoturvaa, riippuvuuksia ja tekoälyn tuottamia muutoksia varten?

NUS:n tutkimuksesta Sonarin tuotteeksi kulkenut kehityspolku osoittaa, miten automaattisen ohjelmakorjauksen tutkimus voi siirtyä kaupalliseen kehittäjätyönkulkuun. Tuotteen todellinen arvo ei kuitenkaan lopulta riipu vain siitä, osaako tekoäly tuottaa koodia, vaan siitä, kuinka luotettavia löydökset ovat, miten hyvin tarkistusketju toimii ja kuinka huolellisesti ihmiset arvioivat lopputuloksen.