GitHub、リポジトリ全体をAIが走査する「AI Scan」を公開プレビュー

何が発表されたか

• GitHub が10月28日、「AI Scan for repositories」を公開プレビューで提供開始。PRの差分ではなくリポジトリ全体を対象に走査する。
• CodeQL が対応していない言語・フレームワークをカバーし、CodeQL 対応言語でもルールベースでは拾いにくい問題を検出する。エージェント型のスキャナーがリポジトリを探索し、脆弱性を含みそうな箇所に注力する。各スキャンは固定の時間予算内で動くため、コストに上限がかかる。
• 検出結果はコードスキャニングのアラート一覧に CodeQL のアラートと並んで表示される。CodeQL も走っている場合、CodeQL が既報の問題は重複して出さない。再スキャン時は再検出したものを開いたままにし、新規分だけを報告する。
• 有効化はエンタープライズのポリシー許可が前提で、Organization のオーナーまたはセキュリティマネージャーが組織単位で有効化する。「AI Scan for pull requests」とは別設定。スキャン開始はコードスキャニング画面から、デフォルトブランチの最新コミットを対象に行う。

実務への影響

• 受託でサイトやアプリを保守しているなら、効き目が大きいのは「CodeQL 対象外の言語」。PHP テーマのカスタマイズ、Liquid テンプレート、シェルスクリプト、各種設定ファイルといった、これまで静的解析の網から外れていた層に初めて自動チェックが入る。
• 運用上の注意点が1つ。アラートは修正をマージしても自動でクローズされない。新しいスキャンを走らせないと閉じないため、「修正PRマージ → 再スキャン」を手順に組み込む必要がある。放置するとアラート一覧が実態と乖離する。
• 課金は Code Security AI クレジットの消費で、エンタープライズの請求画面の「AI usage」配下に表示される。SKU 単位の予算設定ができ、使い切るとスキャン開始前に通知される。プレビュー価格の明示はないため、複数リポジトリへ一斉適用する前に小さく試して消費量を測りたい。

利用条件

github.com と GitHub Enterprise Cloud（データレジデンシー含む）で利用可。Copilot ライセンスは不要。Organization 所有なら public リポジトリ全般と、Code Security／Advanced Security がある private・internal が対象。個人アカウントは public のみで、private は非対応。