GitHubは2026年10月15日、プルリクエスト(PR、コード変更の取り込み依頼)向けAI Scanの一般提供を発表しました。PRの変更内にある脆弱性を検出し、CodeQLを補完します。ただし、検出結果は助言扱いで、問題のある変更の取り込みを自動で止める機能ではありません。
PHPや構成ファイルも対象、結果はPR内で確認
GitHubによると、AI ScanはCodeQLが対応していないPHPやShell/Bashなどを検出対象に含みます。Terraform構成(HCL)、Dockerfiles、JavaのJSP、C#のBlazorも対象です。
コードスキャンと、そのリポジトリに適用されるAI Scan設定が有効な場合、PRで自動実行されます。結果はPRの「Conversation」と「Files changed」タブに、CodeQLの結果と並んで表示されます。AI Scanによる検出には「AI」の表示が付き、CodeQLの警告と見分けられます。
検出結果には、セキュリティリスクの説明や自動修正案が含まれる場合があります。ただし、AI Scanの検出でコードスキャンのチェックが失敗することはありません。ルールセットの要件によってPRのマージ、つまり変更の取り込みを阻止することもできません。
導入時は、検出機能を有効にする作業と、結果を誰が確認するかの取り決めを分けて進める必要があります。チェックの成否だけで判断するのではなく、「AI」表示の結果をレビューで確認する運用を検討してください。
Copilot契約は不要、クレジット使用量は別に確認
組織または個人アカウントが所有する公開リポジトリで利用できます。組織の非公開・内部用リポジトリでは、GitHub Code SecurityかGitHub Advanced Securityが必要です。GitHub Copilotのライセンスは不要です。
一方、PR向けAI ScanはCode Security AI Creditsを消費します。Copilotの契約が不要であることと、AI Scanの利用にクレジットを使うことは、切り分けて確認してください。
使用量は企業の請求・ライセンスの「AI usage」に表示され、表示上の製品名は「Advanced Security」です。Code Security AI Creditsには、課金項目であるSKU単位の予算を設定できます。
日本での提供は発表には書かれていません。日本語対応や日本向け価格の記載もありません。
影響する会社・しない会社
- 影響する: 組織または個人アカウント所有の公開リポジトリを業務で使う会社です。利用を検討する際は、コードスキャンとAI Scan設定の有効化状況を確認する対象になります。
- 影響する: GitHub Code SecurityまたはGitHub Advanced Securityを契約し、組織の非公開・内部用リポジトリを使う会社です。検出結果の確認に加え、クレジットの使用量管理も検討事項になります。
- 影響しない: フォークからのPRと、Dependabotが作成したPRについては、AI Scanは実行されません。この発表で、それらのPRにAI Scanの検出が追加されるわけではありません。
会社単位で一律に対象を決めるのではなく、リポジトリの公開区分、契約、PRの作成元を分けて確認することが重要です。
情シスが今日やること
- 開発責任者と対象候補を整理します。利用判断の前に、公開・非公開・内部用の区分と、GitHub Code SecurityまたはGitHub Advanced Securityの契約有無を確認してください。Copilotの契約有無だけでは判断しないよう、担当者にも伝えます。
- リポジトリ管理者に、コードスキャンと、そのリポジトリに適用されるAI Scan設定の有効化状況を確認してもらいます。設定確認画面の具体的な経路は発表には書かれていません。有効にする前に、検出結果を確認する担当者を決めてください。
- 利用開始後のPRで「Conversation」「Files changed」を開き、「AI」表示の結果を確認します。取り込みを判断する前に誰が確認するかを開発チームと合意し、フォーク由来やDependabot作成のPRは実行対象外であることも共有します。
- 利用開始前に請求担当者と、企業の請求・ライセンスの「AI usage」を確認します。製品名が「Advanced Security」と表示されることを伝え、Code Security AI CreditsのSKU単位の予算を設定するか決めます。
