GitHub mengumumkan dua pembaruan yang relevan bagi tim keamanan aplikasi pada 3 November 2026. CodeQL 2.27.3 kini memahami sejumlah fitur sintaks Python 3.15 dan format JSON untuk data extension, sementara Dependabot menambahkan dukungan bagi proyek Python 3.15. Keduanya menyasar bagian berbeda dari siklus pengembangan: CodeQL membantu menemukan pola kerentanan dalam kode, sedangkan Dependabot menjaga pembaruan dependensi agar proyek tidak tertinggal dari versi yang didukung.
Pembaruan ini penting bagi tim yang mulai menguji Python 3.15. Ketika bahasa pemrograman berkembang, alat analisis harus mengikuti perubahan sintaks dan pustaka agar pemindaian tidak melewatkan konstruksi baru atau menghasilkan temuan yang kurang akurat. Namun, dukungan versi baru bukan pengganti proses secure coding, pengujian, dan peninjauan manual.
CodeQL 2.27.3 menambah pemahaman Python 3.15
CodeQL merupakan mesin analisis statis yang digunakan di balik GitHub code scanning. Pada versi 2.27.3, extractor Python mendapat dukungan sintaks Python 3.15, termasuk unary plus pada pola literal match dan identifier Unicode 17. GitHub juga menyebut dukungan untuk built-in baru seperti frozendict dan sentinel, termasuk pemodelan aliran data pada konstruksi frozendict.
Artinya, proyek yang mulai memakai fitur bahasa terbaru dapat dianalisis dengan pemahaman yang lebih sesuai terhadap struktur kode. Jika parser atau extractor belum mengenali sintaks baru, hasil pemindaian dapat menjadi tidak lengkap atau tidak akurat. Dukungan ini membantu menjaga kesinambungan analisis ketika basis kode bergerak mengikuti versi Python yang lebih baru.
Format JSON memperluas cara menulis data extension
Pembaruan lain pada CodeQL CLI adalah dukungan sintaks JSON untuk berkas data extension. Sebelumnya, tim dapat memakai struktur YAML; kini format JSON dapat digunakan dengan struktur yang sama. GitHub menyatakan berkas berekstensi .json akan diparse sebagai JSON, sedangkan berkas dengan ekstensi lain tetap diproses sebagai YAML. Komentar bergaya Java juga didukung dalam data extension.
Data extension membantu tim menyesuaikan model analisis terhadap pola khusus dalam aplikasi atau pustaka yang digunakan. Dukungan JSON dapat memudahkan integrasi dengan proses otomatis yang sudah menghasilkan konfigurasi JSON. Meski begitu, format baru tidak otomatis meningkatkan kualitas model. Tim tetap harus mendefinisikan sumber data, sink, dan hubungan aliran data secara benar agar query dapat menilai risiko sesuai arsitektur aplikasi.
Model ancaman AI masih perlu dikonfigurasi
CodeQL 2.27.3 juga memperkenalkan model ancaman opt-in bernama ai untuk data yang dihasilkan oleh large language model. GitHub secara eksplisit menyebut model tersebut belum menyertakan source model bawaan. Artinya, organisasi perlu mendefinisikan sumber yang relevan melalui data extension sendiri. Detail ini penting agar pengguna tidak mengira fitur tersebut otomatis mendeteksi seluruh risiko yang muncul dari keluaran AI.
Dalam aplikasi yang memakai LLM, data dari prompt, keluaran model, plugin, dan sistem eksternal dapat bergerak melalui jalur yang berbeda. Tim keamanan perlu menentukan titik mana yang dipercaya, bagaimana data divalidasi, dan apakah keluaran model dapat memengaruhi operasi sensitif. Model ancaman opt-in memberi kerangka awal, tetapi pemetaan sistem tetap menjadi tanggung jawab pengembang.
Dependabot menjaga pembaruan dependensi Python 3.15
GitHub juga menyatakan Dependabot kini mendukung Python 3.15. Dukungan ini tersedia untuk seluruh pengguna github.com dan akan disertakan dalam GitHub Enterprise Server 3.24. Dengan pembaruan tersebut, proyek yang berpindah ke Python 3.15 tetap dapat menerima pembaruan dependensi melalui alur Dependabot.
Dependensi pihak ketiga merupakan bagian penting dari risiko rantai pasok perangkat lunak. Paket yang usang dapat membawa kerentanan yang sudah diketahui, sedangkan pembaruan yang terlalu cepat tanpa pengujian dapat menimbulkan masalah kompatibilitas. Dependabot membantu mengotomatisasi pemberitahuan dan usulan pembaruan, tetapi tim tetap perlu menjalankan pengujian sebelum menerima perubahan ke produksi.
Perbedaan peran CodeQL dan Dependabot
CodeQL dan Dependabot tidak melakukan pekerjaan yang sama. CodeQL menganalisis kode untuk menemukan pola yang berpotensi rentan, sedangkan Dependabot berfokus pada dependensi dan pembaruan versi. Keduanya dapat saling melengkapi dalam pipeline keamanan aplikasi: satu memeriksa perilaku kode, satu membantu mengelola komponen eksternal yang digunakan aplikasi.
Organisasi sebaiknya mengaktifkan pemindaian pada repositori penting, menetapkan kebijakan triase temuan, dan memastikan pemilik layanan meninjau pull request dari bot. Temuan CodeQL perlu diprioritaskan berdasarkan konteks dan dampak, bukan hanya skor. Pembaruan Dependabot juga perlu melewati pengujian otomatis agar perbaikan keamanan tidak mengganggu fungsi aplikasi.
Langkah praktis bagi tim pengembang
Sebelum mengadopsi Python 3.15 secara luas, tim dapat menjalankan pipeline pada cabang uji, memperbarui konfigurasi CodeQL, dan memeriksa hasil pemindaian. Jika memakai data extension JSON, validasi struktur dan aturan aliran data sebelum mengandalkannya untuk keputusan keamanan. Untuk Dependabot, pastikan ekosistem repositori terdeteksi dengan benar dan proses review tidak hanya menyetujui semua pembaruan secara otomatis.
Kesimpulannya, pembaruan 3 November memperkuat kesiapan alat keamanan GitHub menghadapi Python 3.15. Manfaat paling besar akan diperoleh organisasi yang menggabungkan dukungan versi baru dengan model ancaman yang tepat, pengujian berkelanjutan, dan proses respons kerentanan yang jelas.
Sumber primer: GitHub — CodeQL 2.27.3 (3 November 2026); GitHub — Dependabot now supports Python 3.15 (3 November 2026).
Foto ilustrasi: Jakub Żerdzicki/Unsplash.
