GitHubは2026年10月13日、AI Scanの新しい指標を公開プレビューで提供開始しました。組織・エンタープライズの管理者は、security overviewで検出件数や修正率、修正提案の適用状況を確認できます。対象はプルリクエスト向けのAI Scanで、検出後の対応状況を集計して見られるようになります。
検出件数だけでなく、解決状況と期間ごとの傾向を確認
プルリクエストは、コードの変更を取り込む前に確認を求める仕組みです。今回追加された指標は、この段階でAI Scanが生成した検出結果を対象にしています。
security overviewでは、検出結果の件数、解決済みの件数、修正率を表示します。検出結果が発生したリポジトリ、つまりコードを保管する場所も確認できます。選択した集計期間における傾向も表示するため、期間を決めて検出と対応の状況を確認できます。
加えて、開発者がautofixの修正提案を適用した頻度も表示します。検出結果への対応状況と、修正提案の利用状況を分けて確認できる点が今回の変更です。情シスが開発部門に状況を聞く際も、検出件数、解決済み件数、提案の適用頻度を別々の確認項目にできます。
ページ名を変更し、CodeQLとAI Scanを別タブに
従来の「CodeQL pull requests」は、「Code scanning on pull requests」に改称されます。このページにCodeQLとAI Scanの個別タブを設けます。
AI Scanタブには総検出件数と、autofixの提案がある場合・ない場合の件数を表示します。従来のCodeQL pull requestsの指標はCodeQLタブに移動します。これまでの指標を探す際は、ページの新しい名称とタブの移動先を確認してください。
提供先はgithub.comで、GitHub Enterprise Cloudも対象です。利用対象はGitHub Code SecurityまたはGitHub Advanced Securityの顧客です。今回は公開プレビューであり、GitHub Enterprise Serverには対応していません。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: github.comまたはGitHub Enterprise Cloudで、GitHub Code SecurityまたはGitHub Advanced Securityを契約し、プルリクエスト向けAI Scanを使う会社です。組織・エンタープライズの管理者が新指標の確認対象になります。
- 影響する: 従来のCodeQL pull requestsを使って状況を確認している会社です。社内の手順書や報告で参照するページ名と、指標の表示先を見直す必要があります。
- 影響しない: GitHub Enterprise Serverのみを使う会社です。今回のリリースでは、新指標の提供対象に含まれません。
- 影響しない: プルリクエスト向けAI Scanを使っていない会社では、その検出・修正状況を確認する新指標は直接の確認対象ではありません。ただし、CodeQLの指標を参照している場合は、ページ名とタブの変更を確認してください。
情シスが今日やること
以下は社内での確認手順です。発表には、利用者側の対応期限は書かれていません。
- 今日、GitHubの契約担当者と組織管理者に、利用環境がクラウドかServerか、GitHub Code SecurityまたはGitHub Advanced Securityの契約があるかを確認します。あわせて、プルリクエスト向けAI Scanの利用有無を開発責任者に聞きます。
- 対象環境の管理者に、security overviewの「Code scanning on pull requests」を確認してもらいます。AI Scanタブで総検出件数とautofix提案の有無別の件数を見ます。従来の指標を使う担当者には、移動先がCodeQLタブであることを知らせます。
- 次回の開発・セキュリティ定例までに、確認する集計期間を開発責任者と決めます。検出件数、解決済み件数、修正率、検出が発生したリポジトリ、autofix提案の適用頻度を確認項目として共有します。
- 次回の報告前に、社内手順書の旧ページ名と参照先を更新します。新指標は公開プレビューであることも明記し、正式提供済みの機能として扱わないよう報告担当者に伝えます。
