GitHub перевёл AI Scan для pull request в статус общей доступности

GitHub расширил проверку изменений в pull request с помощью AI Scan. Инструмент ищет уязвимости в технологиях, которые пока не поддерживает CodeQL, но его предупреждения не блокируют слияние кода.

GitHub 15 октября перевёл AI Scan для pull request в статус общей доступности. Инструмент автоматически анализирует добавленный и изменённый код, если в репозитории включены сканирование кода и соответствующая настройка AI Scan.

Сервис дополняет CodeQL и рассчитан в том числе на языки, форматы и фреймворки, для которых у CodeQL пока нет полного покрытия. Среди названных GitHub технологий находятся PHP, Shell и Bash, конфигурации Terraform на HCL, Dockerfile, JSP для Java и Blazor для C#.

Где появляются результаты проверки

Найденные проблемы отображаются рядом с результатами CodeQL на вкладках обсуждения и изменённых файлов. Отдельный индикатор AI помогает отличить их от предупреждений CodeQL.

Карточка результата может содержать объяснение риска и предложенное автоматическое исправление. Разработчику всё равно нужно проверить контекст, воспроизвести проблему и оценить патч перед его применением.

Параметр	Условие
Запуск проверки	Автоматически для pull request при включённых code scanning и AI Scan
Статус предупреждений	Рекомендательный, без блокировки слияния
Исключения	Pull request из форков и созданные Dependabot
Лицензия Copilot	Не требуется
Оплата	Расходуются Code Security AI Credits

Предупреждения не блокируют слияние

AI Scan не проваливает проверку code scanning. Его результаты также нельзя использовать в требованиях ruleset, чтобы автоматически запретить слияние pull request.

Это ограничение особенно существенно для учебных и исследовательских репозиториев. Результат AI Scan стоит рассматривать как дополнительный сигнал для ручной проверки, а не как подтверждение безопасности программы или конфигурации.

Доступ зависит от типа репозитория

AI Scan доступен для публичных репозиториев организаций и личных аккаунтов. Для закрытых и внутренних репозиториев организаций потребуется GitHub Code Security либо GitHub Advanced Security.

Проверка расходует AI Credits продукта Code Security. Использование учитывается в разделе корпоративного биллинга как Advanced Security, а администраторы могут задавать отдельные бюджеты для этих кредитов.

Перед включением инструмента владельцу репозитория стоит проверить тип проекта, активные функции безопасности и доступный бюджет. После первого запуска полезно убедиться, что AI-предупреждения появились в pull request, а предложенные исправления прошли тесты и ручное ревью.