Wichtig
Warum keine Prüfung absolute Sicherheit garantiert
RepoPilot kann bekannte Muster, dokumentierte Schwachstellen und auffällige Konfigurationen finden. Es kann aber nicht beweisen, dass ein Repository frei von Schadsoftware ist.
Mögliche Restrisiken
- Schadcode kann verschlüsselt, zeitversetzt, abhängig von der Umgebung oder erst nach einem Update aktiv werden.
- Statische Regeln können Zusammenhänge falsch einschätzen oder neue Techniken nicht kennen.
- Binärdateien, Container-Inhalte und Laufzeitverhalten sind in Phase 1 nicht vollständig bewertbar.
- Ein später geänderter Branch unterscheidet sich vom geprüften Commit. Nutze deshalb den im Bericht genannten Commit-SHA.
Sichere Vorgehensweise
Prüfe die Empfehlungen, lies kritische Befunde im Original nach und starte unbekannte Projekte zuerst in einer isolierten Umgebung ohne persönliche Dateien, Browserprofile, Tokens oder Produktivdaten.