GitHub、PR上にAIセキュリティ検出を表示——CodeQL未対応領域もCopilotライセンスでプレビュー

結論から言うと、GitHubはプルリクエスト上でAIによるセキュリティ検出を見られるようにした。2026年7月14日のGitHub Changelogによると、code scanningに「AI-powered security detections」が加わり、CodeQLの標準解析がまだ広く支えていない言語やフレームワークの弱点も見つけやすくする。

具体的には、プルリクエストが作成または更新されたとき、GitHubのAI detection engineが自動で走り、結果が返り次第PR上に表示される。AIで生成された指摘には「AI」ラベルが付き、CodeQLの結果と区別できる。

利用には、Enterpriseポリシーで許可され、organization側で有効化され、対象リポジトリでCodeQL default setupがオンになっている必要がある。

公開プレビュー中はGitHub Code Security（GitHub Advanced Security）利用者向けで、GitHub Copilotライセンスが必要、検出が走った分だけ組織のAI creditsを消費する。開発者に関係するのは、マージ前レビューの画面で、従来の静的解析だけでは届きにくい潜在バグを早めに見られる点だ。

注意点は、結果は情報提供扱いでPRのマージをブロックせず、AI検出は誤検知・見逃しがあり得るため、人間のレビューと既存テストの代わりにはならない。