GitHubは10月15日（現地時間）、コードスキャンの「AI Scan for pull requests」の一般提供を開始した。同機能は、CodeQLを補完するもの。PHP、Shell/Bash、Terraform構成（HCL）、Dockerfile、Java向けJSP、C#向けBlazorなど、CodeQLが現在対応していない言語やフレームワークを対象に、プルリクエストの変更から脆弱性を検出する。
コードスキャンと、リポジトリに適用されるAI Scan設定が有効な場合、プルリクエストで自動的に実行される。検出結果はConversationタブとFiles changedタブに、CodeQLの結果と並んで表示される。CodeQLのアラートとは「AI」インジケーターで区別される。セキュリティリスクの説明や修正候補（autofix）が含まれる場合もある。
検出結果は助言的な位置付けである。コードスキャンのチェックを失敗させることはなく、ルールセットの要件でマージをブロックすることもできない。フォークからのプルリクエストや、Dependabotが作成したプルリクエストでは実行されない。
組織または個人アカウントが所有するパブリックリポジトリで利用できる。組織所有のプライベート・内部リポジトリでは、GitHub Code SecurityまたはGitHub Advanced Securityが必要となる。GitHub Copilotのライセンスは不要で、利用時はCode Security AI Creditsを消費する。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
