AWS הכריזה ב־22 באוקטובר 2026 על זמינות כללית של AWS Continuum for code vulnerabilities — שירות שמטרתו לזהות, לאמת, לתעדף ולתקן חולשות בקוד תוך שילוב מידע מסביבת הענן האמיתית של הארגון.
ההבדל המרכזי מול סורק קוד רגיל הוא ההקשר. Continuum אינה מסתפקת בהתראה על דפוס פגיע בקוד, אלא בונה גרף הקשר מסביבת AWS: טופולוגיית משאבים, קשרי זהויות, נגישות רשת והקשר אפליקטיבי. כך היא מנסה להבחין בין חולשה תאורטית לבין ממצא שעלול לסכן בפועל נכס עסקי.
איך השירות עובד?
לפי AWS, Continuum קולטת ממצאי חולשות קיימים, סורקת את הקוד ומנסה לאמת אם ניתן לנצל את הממצא בתוך Sandbox מבודד. לאחר מכן הממצאים מתועדפים לפי ההשפעה העסקית, ולא רק לפי דירוג חומרה כללי.
כאשר נמצא תיקון מתאים, השירות יכול להכין Patch כ־Pull Request ישירות לתהליך העבודה של צוות הפיתוח. לבקשה מצורפים הוכחת יכולת הניצול והערכת Blast Radius, כדי שהצוות יבין אילו משאבים ותהליכים עלולים להיות מושפעים.
מצב Learn מול מצב Enforce
Continuum מתחילה ב־Learn mode. במצב זה היא מציעה תיקונים, אך אדם נדרש לבדוק ולאשר אותם. AWS מציגה את Enforce mode כשלב מתקדם יותר: לאחר שהארגון צבר אמון בדיוק המערכת, ניתן לאפשר פעולה אוטונומית בתוך Guardrails שהוגדרו מראש.
המעבר אינו צריך להיות אוטומטי. לפני הפעלת Enforce רצוי להגדיר מדיניות ברורה: אילו מאגרים וסביבות מותרים לתיקון, אילו בדיקות CI חייבות לעבור, מי מאשר שינויים רגישים ומהו תהליך החזרה לאחור במקרה של תקלה.
מה כדאי לבדוק לפני הטמעה?
- כיסוי המקורות: אילו מאגרי קוד וכלי איתור חולשות מחוברים לשירות.
- הרשאות: לוודא שהשירות מקבל רק את ההרשאות הדרושות לקריאה, בדיקה ופתיחת Pull Requests.
- בידוד הבדיקות: להבין כיצד מתבצעת בדיקת הניצול ב־Sandbox ואילו נתונים מגיעים אליו.
- בקרת שינוי: לחייב בדיקות אוטומטיות, Code Review ותיעוד לפני מיזוג תיקון.
- מדדי הצלחה: למדוד ירידה בזמן טיפול, שיעור תיקונים שהתקבלו, False Positives ותקלות שנגרמו משינויים.
החיבור ל־GuardDuty ול־Security Hub
AWS מציינת שהשירות עובד לצד Amazon GuardDuty ו־AWS Security Hub. המשמעות היא ש־Continuum אינה מחליפה את שכבות הזיהוי והניהול הקיימות, אלא מוסיפה שכבת ניתוח ותיקון שמביאה את ההקשר הענני אל תהליך הפיתוח.
בארגון שמפעיל DevSecOps, הערך האפשרי הוא צמצום הזמן שבין גילוי חולשה לבין תיקון מאומת. עם זאת, תיקון שנוצר בידי AI עדיין דורש מדיניות שינוי, בדיקות והפרדת תפקידים — במיוחד במערכות ייצור או בקוד שמשפיע על זהויות, הרשאות ורשת.
מקור
AWS: Continuum for code vulnerabilities is now generally available, פורסם ב־22 באוקטובר 2026.
צילום: Markus Winkler / Pexels. מקור: Pexels. שימוש לפי רישיון Pexels.
