Shopify: ИИ-агент River сократил бэклог уязвимостей зависимостей примерно на 70%

Shopify располагает системами, которые генерируют обновления уязвимых зависимостей и черновые исправления собственного кода, но они не доводят устранение уязвимости до конца. Пока пул-реквест ждёт ревью, репозиторий меняется; разработчик может добавить контекст, который меняет само исправление; успешный CI на пул-реквесте не доказывает, что уязвимость исчезла из головной ветки репозитория. Инженерам приходилось вручную переносить состояние между кодом, CI, Slack и трекером. Задача — превратить готовые патчи в доведённое до слияния и проверенное устранение уязвимостей.

River — ИИ-агент Shopify, который работает в корпоративном Slack из корня монорепозитория World с теми же средами разработки, навыками и инженерными соглашениями, что и разработчики. Агент сверяет исходную находку с текущим кодом, проверяет, не устранена ли уязвимость другим изменением, переигрывает обновление зависимости на актуальной ветке, перегенерирует lock-файл и чинит механические сбои. Для находок в собственном коде он готовит узко ограниченное изменение в черновом пул-реквесте. Решения о поведении продукта, одобрение и слияние остаются за владельцами кода; после слияния River проверяет головную ветку, граф зависимостей, трекер уязвимостей и свой журнал работ.

Shopify ввела в работу процесс для уязвимостей зависимостей и уязвимостей приложений и описала результаты в блоге 2 сентября 2026 года. По каждой находке в приложении River открывает отдельную ветку в Slack, связанные обновления зависимостей группирует. За первые 11 дней работы процесса для зависимостей бэклог открытых задач сократился примерно на 70%: около двух третей закрыто прямым слиянием, остальные River подтвердил как устаревшие или уже исправленные. Доля исправлений безопасности через очередь слияния с проверкой актуальности выросла примерно с 10% до 80%. В одном запуске четыре ветки охватили 35 находок в нескольких кодовых базах.