Nový nástroj codevalidator kombinuje deterministické bezpečnostní kontroly s volitelnou kontrolou pomocí jazykového modelu. Zaměřuje se hlavně na diff a porovnává skutečné změny s jejich deklarovaným účelem. Hledá například oslabené testy, skryté bypassy, nečekané zásahy do oprávnění, podezřelé hooky nebo kód, který dělá něco jiného, než naznačuje popis commitu. Heuristiky pokrývají také dynamické spouštění kódu, bidi znaky známé z útoku Trojan Source a rizikové GitHub Actions. LLM část lze využít pro sémantické posouzení intentu, ale projekt nabízí i režim bez modelu a bez API nákladů. Autor zdůrazňuje, že codevalidator nemá nahrazovat nástroje jako Semgrep, CodeQL nebo skenery tajných klíčů. Má doplnit mezeru mezi statickou analýzou a otázkou, zda konkrétní změna skutečně odpovídá tomu, co tvrdí její autor.
