SonarQube Remediation Agent: hoe NUS-onderzoek AI-code omzet in gecontroleerde pull requests

SonarQube Remediation Agent is een AI-ondersteunde tool voor codeherstel die werkt met een expliciete controlelus. In plaats van een algemeen programmeermodel zelf een oplossing te laten bedenken, begint de agent met een probleem dat SonarQube Cloud al heeft vastgesteld. Vervolgens genereert hij een mogelijke patch, past die toe in een afgeschermde sandbox en voert de Sonar-analyse opnieuw uit voordat de wijziging bij een ontwikkelaar terechtkomt.

Die aanpak moet organisaties helpen de risico’s van sneller, AI-ondersteund software ontwikkelen te beheersen. Een door AI voorgestelde patch wordt daarbij niet automatisch als veilig beschouwd.

Zo werkt de Remediation Agent

De agent richt zich op geselecteerde problemen rond betrouwbaarheid, onderhoudbaarheid en beveiliging die SonarQube aantreft in pull requests of in de bestaande takenlijst van een project. Volgens de documentatie kan de tool ook bepaalde kwetsbaarheden in softwareafhankelijkheden aanpakken die via software-composition analysis zijn gevonden.

De workflow houdt de wijziging controleerbaar en bespreekbaar:

1. Een SonarQube-analyse identificeert een probleem.
2. De agent genereert een mogelijke oplossing.
3. De oplossing wordt toegepast in een geïsoleerde sandbox.
4. De analyse-engine van Sonar controleert of het oorspronkelijke probleem is verholpen en of de wijziging geen nieuwe problemen introduceert.
5. Mislukte kandidaten kunnen worden weggegooid of opnieuw worden geprobeerd. Een geslaagde oplossing wordt als wijziging of pull request aangeboden voor goedkeuring door een ontwikkelaar.

De tool ondersteunt momenteel Java, JavaScript, TypeScript en Python. De integratie is gericht op SonarQube Cloud en gekoppelde workflows voor codehosting. De documentatie noemt projecten die zijn verbonden met GitHub of Azure DevOps; herstel binnen pull requests is beschikbaar voor projecten die aan GitHub zijn gekoppeld.

Het belangrijkste verschil met een brede code-assistent is dus niet alleen dat de agent code kan schrijven. Hij werkt vanuit problemen die SonarQube al heeft gedetecteerd en toetst de voorgestelde oplossing aan dezelfde analysemethoden voordat een ontwikkelaar de wijziging te zien krijgt.

Van NUS-onderzoek naar een commercieel Sonar-product

De technologie begon als AutoCodeRover, een autonoom AI-agentplatform dat werd ontwikkeld door professor Abhik Roychoudhury en zijn team binnen de onderzoeksgroep Trustworthy and Secure Software van NUS Computing. Het systeem combineerde grote taalmodellen met technieken voor het doorzoeken van code om taken als debugging, probleemherstel en refactoring uit te voeren.

Sonar nam de AutoCodeRover-spin-off in februari 2025 over. Daarmee kreeg het bedrijf een onderzoeksbasis voor de integratie van agentische programmareparatie in zijn bestaande platform voor codekwaliteit en beveiliging.

De onderzoeksachtergrond vraagt wel om enige nuance. NUS Computing meldde dat AutoCodeRover tot de drie best presterende systemen op SWE-bench behoorde, een benchmark met echte softwareproblemen. Dat wijst op sterke onderzoeksprestaties, maar garandeert niet dat elk probleem in een productieomgeving succesvol kan worden opgelost.

Ontwikkeling, tests en lancering in Singapore

De agent werd in Singapore ontwikkeld en getest met ingenieurs en de Infocomm Media Development Authority (IMDA), de Singaporese overheidsinstantie voor informatie- en communicatietechnologie. Sonar maakte de wereldwijde lancering van SonarQube Remediation Agent bekend tijdens ATxSummit 2026 in Singapore in mei 2026.

Daarmee komen drie lijnen in het productverhaal samen: NUS leverde de onderliggende technologie voor programmareparatie, Sonar vertaalde die technologie naar zakelijke workflows voor codeverificatie en de samenwerking met IMDA hielp bij het testen van AI-gegenereerde software in een context waarin verantwoord gebruik centraal staat.

Waarom geautomatiseerd herstel belangrijk wordt

AI-codeertools kunnen de hoeveelheid geproduceerde software sterk vergroten. Dat kan ontwikkelteams productiever maken, maar ook de hoeveelheid code die moet worden gecontroleerd en onderhouden verhogen. Het risico beperkt zich bovendien niet tot door AI geschreven code: menselijke programmeurs kunnen dezelfde betrouwbaarheids-, onderhouds- en beveiligingsproblemen introduceren.

SonarQube Remediation Agent is bedoeld om beide soorten code te ondersteunen. De tool gebruikt SonarQube-bevindingen om reparaties voor te stellen in code die door mensen of door AI-systemen is geschreven. De ontwikkelaar houdt vervolgens de beslissing om de wijziging wel of niet te accepteren.

Dat menselijk toezicht is vooral relevant voor bedrijven. Een geverifieerde suggestie kan repetitief debugwerk verminderen en helpen om opgebouwde technische schuld weg te werken. De controle blijft echter begrensd door de problemen die SonarQube kan detecteren, de ondersteunde talen en integraties en de kwaliteit van tests en codebeoordeling binnen de organisatie.

Beveiligings- en operationele risico’s: wat de tool wel en niet oplost

De zakelijke waarde is deels defensief. Als AI-ondersteunde ontwikkeling software sneller produceert, hebben organisaties methoden nodig om fouten en beveiligingszwakheden op te sporen zonder evenredig meer handmatige controles uit te voeren. De berichtgeving uit Singapore beschrijft de agent als een manier om cyberbeveiligings- en operationele risico’s van AI-gegenereerde code aan te pakken, waaronder defecten die tot problemen met diensten kunnen leiden.

De agent is geen algemene garantie dat software veilig is. Het model is beperkter en praktischer: een afgebakend probleem detecteren, een reparatie genereren, die reparatie onafhankelijk analyseren en de uiteindelijke keuze bij ontwikkelaars laten. Daardoor kan de weg van melding naar voorgestelde oplossing korter worden, maar testen, code review, beveiligingsmaatregelen en governance blijven noodzakelijk.

Sonar zegt dat de agent alleen werkt op geverifieerde SonarQube-bevindingen en rapporteert een percentage van 3,2 procent aan fout-positieve resultaten voor de problemen waarop de tool actief is. Dat is een door de leverancier gerapporteerde productmetriek. De waarde ervan moet daarom worden gelezen als informatie over de door Sonar beschreven workflow, niet als een onafhankelijke garantie voor nauwkeurigheid in elke codebase.

Schaal en marktpositie

Sonar zegt dat zijn platform dagelijks 750 miljard regels code analyseert en meer dan zeven miljoen ontwikkelaars bedient, waaronder organisaties die 75 procent van de Fortune 100 vertegenwoordigen. Dit zijn door het bedrijf gerapporteerde cijfers over het bredere Sonar-platform, niet over het aantal reparaties dat de Remediation Agent zelf uitvoert.

Sonar positioneert de tool als een laag voor codeverificatie en herstel binnen AI-ondersteunde ontwikkeling. Daarmee onderscheidt het product zich van tools die vooral code genereren. De Remediation Agent begint bij vastgestelde bevindingen en valideert voorgestelde wijzigingen voordat die ter beoordeling worden aangeboden.

Wat engineeringteams hier praktisch aan hebben

De kernbelofte kan het best als volgt worden samengevat: AI stelt een reparatie voor een geverifieerd probleem voor, waarna het analysesysteem de oplossing controleert voordat een ontwikkelaar haar accepteert.

Teams die de aanpak overwegen, doen er vooral goed aan praktische vragen te stellen:

• Ondersteunt de agent de programmeertaal en repository-integratie van het project?
• Zijn de SonarQube-bevindingen specifiek genoeg om bruikbare oplossingen op te leveren?
• Kunnen ontwikkelaars de resulterende pull requests beoordelen en het gedrag met aanvullende tests controleren?
• Beschikt de organisatie over duidelijke controles voor beveiliging, afhankelijkheden en door AI gegenereerde wijzigingen?

Het traject van NUS naar Sonar laat zien hoe onderzoek naar geautomatiseerde programmareparatie kan uitmonden in een commerciële workflow voor ontwikkelaars. De uiteindelijke waarde zal echter minder afhangen van het feit dat de tool code kan genereren dan van de betrouwbaarheid van de bevindingen, de kwaliteit van de verificatielus en de zorgvuldigheid waarmee mensen het resultaat beoordelen.