AI Scan: подсказка, не запрет

15 октября 2026 года GitHub объявила общедоступность AI Scan для pull request. Это дополнение к CodeQL для поиска уязвимостей в изменениях, включая PHP, Shell/Bash, HCL и Dockerfiles. Новость полезна командам, которым не хватает покрытия CodeQL, но не обещает обнаружения всех ошибок.

Находка не остановит слияние

По описанию GitHub, проверка запускается при включённых code scanning и действующей настройке AI Scan. Результаты появляются рядом с CodeQL с отметкой AI; возможны объяснение риска и предложенное исправление.

Главное ограничение: рекомендации AI Scan не проваливают проверку code scanning и не блокируют слияние через правила репозитория. PR из форков и от Dependabot не проверяются. Поэтому отсутствие такой находки нельзя считать подтверждением безопасности.

Доступ и расход

Функция доступна публичным репозиториям организаций и личных аккаунтов. Закрытым и внутренним репозиториям организаций нужны GitHub Code Security либо Advanced Security. Лицензия Copilot не требуется, однако проверки расходуют Code Security AI Credits; для них доступны отдельные бюджеты.

Что проверить команде

Редакционная рекомендация: начните с одного подходящего репозитория, проверьте настройки и бюджет, затем договоритесь, кто разбирает рекомендации. Не убирайте обязательное ревью и действующие проверки. Предложенный патч стоит оценивать и тестировать, а не принимать только из-за отметки AI.

Материал основан на официальном анонсе. Мы не запускали AI Scan на тестовом проекте и не измеряли качество обнаружения.

Новые слова простыми словами

Pull request (PR)

Предложение внести изменения в репозиторий, которое команда может обсудить и проверить перед объединением.

Форк

Отдельная копия репозитория для самостоятельной работы с его кодом.

AI Credits

Единицы учёта использования ИИ-функций, расход которых нужно проверять в биллинге сервиса.

---

Проверяемые источники

• AI Scan for pull requests generally available