SonarQube Remediation Agent: Slik gjør NUS-forskning AI-kode om til verifiserte pull requests

SonarQube Remediation Agent er et AI-basert verktøy for feilretting i programkode, utviklet rundt en verifiseringssløyfe. I stedet for å be en generell kodeassistent finne på en løsning fra grunnen av, tar verktøyet utgangspunkt i et problem som SonarQube Cloud allerede har identifisert. Deretter lager det en mulig kodeendring, legger den inn i en isolert sandkasse og kjører Sonars analyse på nytt før forslaget vises til en utvikler.

Målet er å gjøre det enklere å håndtere risikoen ved raskere, AI-assistert programvareutvikling – uten å late som om en AI-generert kodeendring automatisk er trygg.

Slik fungerer SonarQube Remediation Agent

Agenten håndterer utvalgte problemer innen pålitelighet, vedlikeholdbarhet og sikkerhet som blir funnet i pull requests eller i et eksisterende kodeetterslep. Sonars dokumentasjon beskriver også feilretting for enkelte sårbarheter i tredjepartsavhengigheter, oppdaget gjennom programvaresammensetningsanalyse (SCA).

Arbeidsflyten er laget for at endringen skal kunne gjennomgås av mennesker:

1. SonarQube-analysen identifiserer et problem.
2. Agenten genererer en mulig løsning.
3. Løsningen legges inn i en isolert sandkasse.
4. Sonars analyseverktøy kontrollerer om det opprinnelige problemet er løst, og om endringen introduserer nye problemer.
5. Mislykkede forslag kan forkastes eller forsøkes på nytt. Et forslag som består kontrollen, tilbys som en endring eller pull request som utvikleren må godkjenne.

Produktet oppgir foreløpig Java, JavaScript, TypeScript og Python blant de støttede språkene. Integrasjonen er knyttet til SonarQube Cloud og tilkoblede tjenester for kodehosting. Dokumentasjonen beskriver støtte for prosjekter koblet til GitHub eller Azure DevOps, mens feilretting direkte i pull requests er tilgjengelig for prosjekter knyttet til GitHub.

Forskjellen fra en bred kodeassistent er dermed ikke bare at agenten skriver kode. Den arbeider med funn SonarQube allerede har oppdaget, og kontrollerer løsningen mot de samme analysekravene før utvikleren ser den.

Fra NUS-forskning til kommersielt Sonar-produkt

Teknologien startet som AutoCodeRover, en autonom AI-agentplattform utviklet av professor Abhik Roychoudhury og teamet hans ved NUS Computings forskningsgruppe for pålitelig og sikker programvare. Systemet kombinerte store språkmodeller med teknikker for kodesøk for å løse oppgaver som feilsøking, feilretting og refaktorering.

Sonar kjøpte opp AutoCodeRover-avknoppingen i februar 2025. Oppkjøpet ga Sonar et forskningsbasert utgangspunkt for å integrere agentbasert programreparasjon i selskapets eksisterende plattform for kodekvalitet og sikkerhet.

Forskningsbakgrunnen innebærer samtidig en viktig presisering: gode resultater i en testbenk og stabil drift i kommersielle miljøer er ikke det samme. NUS Computing rapporterte at AutoCodeRover var blant de tre beste systemene på SWE-bench, en testbenk basert på reelle programvareproblemer. Resultatet viser forskningens kapasitet, men er ingen garanti for at alle problemer i produksjonskode kan løses.

Testet i Singapore – lansert globalt

Agenten ble utviklet og testet i Singapore sammen med ingeniører og Infocomm Media Development Authority (IMDA), Singapores myndighet for informasjons- og medieutvikling, før den globale lanseringen. Sonar kunngjorde den globale lanseringen av SonarQube Remediation Agent under ATxSummit 2026 i Singapore i mai 2026.

Singapore spiller dermed flere roller i historien: NUS-forskningen leverte teknologien for programreparasjon, Sonar tilpasset den til virksomheters arbeidsflyter for kodeverifisering, og samarbeidet med IMDA bidro til å teste teknologien i en ramme der ansvarlig bruk av AI-generert programvare sto sentralt.

Hvorfor automatisk feilretting blir viktigere med AI-kode

AI-verktøy kan øke mengden programvare som produseres. Men høyere tempo kan også føre til mer kode som må gjennomgås, vedlikeholdes og sikres. Risikoen gjelder ikke bare kode skrevet av en AI: menneskeskrevet kode kan inneholde de samme feilene innen pålitelighet, vedlikeholdbarhet og sikkerhet.

SonarQube Remediation Agent er ment å håndtere begge deler. Verktøyet kan bruke SonarQube-funn til å foreslå reparasjoner i kode skrevet av mennesker eller AI-systemer, samtidig som utviklerne beholder ansvaret for å godkjenne eller avvise endringen.

Denne menneske-i-løkken-modellen er viktig for virksomheter. Et verifisert forslag kan redusere tidkrevende feilsøking og hjelpe team med å ta igjen teknisk gjeld. Samtidig er kontrollen begrenset av hvilke problemer SonarQube oppdager, hvilke språk og integrasjoner som støttes, og hvor gode testene og kodegjennomgangene i prosjektet er.

Sikkerhet og driftsrisiko: Dette løser verktøyet – og dette løser det ikke

Forretningsargumentet er delvis defensivt. Hvis AI-assistert utvikling øker hastigheten på programvareproduksjonen, trenger virksomheter metoder for å finne feil og sikkerhetssvakheter uten at den manuelle gjennomgangen må økes tilsvarende. Omtalen fra Singapore beskriver agenten som et tiltak mot cybersikkerhets- og driftsrisiko knyttet til AI-generert kode, blant annet risikoen for at feil kan bidra til tjenesteproblemer.

Agenten er ikke en generell garanti for at programvaren er sikker. Modellen er smalere og mer praktisk: identifiser et konkret problem, generer en reparasjon, analyser reparasjonen uavhengig og la utvikleren ta den endelige beslutningen. Verktøyet kan forkorte veien fra funn til foreslått løsning, men erstatter ikke testing, kodegjennomgang, sikkerhetskontroller eller styring.

Sonar sier at agenten bare arbeider med verifiserte SonarQube-funn, og har rapportert en andel falske positiver på 3,2 prosent for problemene agenten håndterer. Dette er et produktmål rapportert av leverandøren, og bør derfor tolkes som dokumentasjon på Sonars oppgitte arbeidsflyt – ikke som en uavhengig garanti for nøyaktighet i alle kodebaser.

Skala og konkurransebilde

Sonar oppgir at plattformen analyserer 750 milliarder kodelinjer daglig og brukes av mer enn sju millioner utviklere, blant annet i virksomheter som representerer 75 prosent av Fortune 100. Dette er selskapets egne tall for den bredere Sonar-plattformen, ikke et mål på hvor mye kode Remediation Agent selv reparerer.

Sonar posisjonerer produktet som et lag for kodeverifisering og feilretting i AI-assistert utvikling. Det skiller seg fra verktøy som først og fremst genererer kode: Remediation Agent begynner med et identifisert funn og validerer den foreslåtte endringen før den sendes til gjennomgang.

Hva betyr dette i praksis for utviklingsteam?

Hovedløftet kan oppsummeres slik: AI foreslår en reparasjon på et verifisert funn, og analysesystemet kontrollerer reparasjonen før utvikleren godkjenner den.

For team som vurderer løsningen, er de viktigste spørsmålene praktiske:

• Støtter agenten prosjektets programmeringsspråk og integrasjon med kodeplattformen?
• Er SonarQube-funnene konkrete nok til at de kan gi nyttige forslag?
• Har utviklerne tid og rutiner til å gjennomgå pull requests og teste funksjonalitet utover statisk analyse?
• Har virksomheten egne kontroller for sikkerhet, avhengigheter og AI-genererte endringer?

Historien fra NUS til Sonar viser hvordan forskning på automatisk programreparasjon kan flyttes inn i kommersielle arbeidsflyter for utviklere. Men verdien vil til syvende og sist avhenge mindre av nyheten i å generere kode enn av kvaliteten på funnene, påliteligheten i verifiseringssløyfen og grundigheten til menneskene som vurderer resultatet.