SonarQube Remediation Agent: Från NUS-forskning till verifierade pull requests

Den viktiga skillnaden mot en bred kodassistent är därför inte bara att agenten skriver kod. Den arbetar med problem som SonarQube redan har upptäckt och kontrollerar den föreslagna lösningen mot samma analysregler innan en utvecklare ser den.

Från NUS-forskning till kommersiell Sonar-produkt

Tekniken började som AutoCodeRover, en autonom AI-agentplattform som utvecklades av professor Abhik Roychoudhury och hans team vid NUS Computing-gruppen Trustworthy and Secure Software. Systemet kombinerade stora språkmodeller med tekniker för kodsökning och kunde användas för bland annat felsökning, problemlösning och refaktorering.

Sonar köpte avknoppningen AutoCodeRover i februari 2025. Förvärvet gav företaget en forskningsbaserad grund för att integrera agentbaserad programreparation i sin befintliga plattform för kodkvalitet och säkerhet.

Forskningsbakgrunden innebär samtidigt en viktig reservation: resultat på benchmarktester och tillförlitlighet i kommersiell drift är inte samma sak. NUS Computing uppgav att AutoCodeRover placerade sig bland de tre bästa systemen på SWE-bench, ett test byggt kring verkliga programvaruproblem. Resultatet visar på stark forskningskapacitet, men garanterar inte att varje produktionsproblem kan lösas framgångsrikt.

Utveckling och testning i Singapore

Agenten utvecklades och testades i Singapore tillsammans med ingenjörer och Infocomm Media Development Authority, eller IMDA, innan den globala lanseringen. Sonar meddelade att SonarQube Remediation Agent lanserades globalt vid ATxSummit 2026 i Singapore i maj 2026.

Lanseringen knyter samman tre delar av produktens historia: NUS-forskningen levererade tekniken för programreparation, Sonar anpassade den till företags arbetsflöden för kodverifiering och samarbetet med IMDA bidrog till att testa tekniken i en miljö med fokus på ansvarsfull användning av AI-genererad programvara.

Varför automatiserad kodreparation behövs

AI-baserade kodverktyg kan öka mängden programvara som produceras. Men när utvecklingstakten ökar kan också mängden kod som måste granskas och underhållas växa. Risken gäller dessutom inte bara AI-skriven kod – mänskligt skriven kod kan innehålla samma brister inom tillförlitlighet, underhållbarhet och säkerhet.

SonarQube Remediation Agent är tänkt att hantera båda fallen. Med utgångspunkt i SonarQube-fynd kan verktyget föreslå reparationer för kod som har skrivits av människor eller AI-system, samtidigt som utvecklarna behåller beslutet om ändringen ska accepteras.

Den mänskliga kontrollen är central för företag. Ett verifierat förslag kan minska repetitiv felsökning och hjälpa team att beta av teknisk skuld. Men verifieringen är fortfarande begränsad av de problem SonarQube kan upptäcka, vilka språk och integrationer som stöds samt kvaliteten på projektets tester och granskningsprocess.

Säkerhet och drift: vad verktyget kan – och inte kan – lösa

Affärsnyttan är delvis defensiv. Om AI-assisterad utveckling ökar takten i vilken programvara produceras behöver organisationer kunna hitta fel och säkerhetsbrister utan att den manuella granskningen ökar i samma omfattning. Rapporteringen från Singapore beskriver agenten som ett sätt att hantera cybersäkerhets- och driftsrisker kopplade till AI-genererad kod, där fel i värsta fall kan bidra till driftproblem.

Agenten är däremot ingen generell garanti för att programvara är säker. Modellen är smalare och mer praktisk: identifiera ett definierat problem, generera en reparation, analysera ändringen oberoende och lämna det slutliga beslutet till utvecklarna. Verktyget kan korta vägen från upptäckt till föreslagen fix, men ersätter inte tester, kodgranskning, säkerhetskontroller eller styrning.

Sonar uppger att agenten endast arbetar med verifierade SonarQube-fynd och har rapporterat en andel falska positiva resultat på 3,2 procent för de problem som agenten hanterar. Det är ett produktmått som rapporterats av leverantören och bör därför ses som information om Sonars angivna arbetsflöde – inte som en oberoende garanti för träffsäkerhet i alla kodbaser.

Skala och marknadsposition

Sonar uppger att plattformen analyserar 750 miljarder kodrader per dag och används av över sju miljoner utvecklare, däribland organisationer som motsvarar 75 procent av Fortune 100. Det är företagets egna siffror för den bredare Sonar-plattformen och säger inte hur många kodfixar Remediation Agent själv genomför.

Sonar positionerar produkten som ett lager för kodverifiering och reparation i AI-assisterad utveckling. Det skiljer den från verktyg vars främsta uppgift är att generera kod: Remediation Agent börjar med identifierade fynd och validerar de föreslagna ändringarna innan de skickas vidare för granskning.

Vad innebär det i praktiken för utvecklingsteam?

Verktygets centrala löfte kan sammanfattas så här:

AI föreslår en reparation av ett verifierat problem – sedan kontrollerar analyssystemet ändringen innan en utvecklare godkänner den.

För team som överväger lösningen är de viktigaste frågorna praktiska:

• Stöder agenten projektets programmeringsspråk och integration mot kodplattformen?
• Är teamets SonarQube-fynd tillräckligt tydliga för att ge användbara kodfixar?
• Kan utvecklarna granska de resulterande pull request-förslagen och testa beteendet utöver den statiska analysen?
• Finns det kontroller för säkerhet, beroenden och AI-genererade ändringar?

Berättelsen från NUS till Sonar visar hur forskning om automatisk programreparation kan flytta in i kommersiella utvecklingsflöden. Men produktens verkliga värde kommer sannolikt att avgöras mindre av nyheten i att generera kod och mer av kvaliteten på fynden, tillförlitligheten i verifieringsloopen och den mänskliga granskning som följer efteråt.