GitHubの脆弱性修正AIが正式提供：CodeQLで直ったか確認して下書きPRを作成

GitHubで見つかったコードの弱点に対し、AIが修正案を作って検査し、確認用の変更提案まで用意できるようになりました。GitHubは10月15日、code scanning alerts向けのagentic autofixを正式提供したと発表しました。警告の周辺だけでなく関連ファイルを調べ、開発者のように修正を進める仕組みです。

警告をCopilotへ割り当てると、AIは関係するファイルを探索し、修正を提案します。その後、コードの弱点を探すCodeQLを再実行し、警告が閉じるかを確認します。必要なら修正を繰り返し、最後に下書きのプルリクエストを作ります。そこには、何を直したか、なぜ警告を解消できるのか、どの検査を行ったかが記録されます。作成後もコメントやAgentsタブから追加修正を頼めます。

一件ずつのほか、警告一覧やsecurity campaignから最大25件を選び、一つのプルリクエストへまとめることもできます。REST APIから専用のCopilot担当者を指定する方法も案内されています。ただし対象は既定ブランチの警告です。プルリクエストだけ、または別ブランチだけで見つかった警告には使えません。

利用にはGitHub Enterprise Cloud上のGitHub Code SecurityまたはGitHub Advanced Securityが必要で、管理者による方針の有効化とCopilotの請求方法の設定も必要です。Code SecurityのAI CreditsとGitHub Actionsの実行時間を消費するため、無料機能ではありません。

実務では、AIの変更をそのまま採用せず、テスト、権限、別の弱点を生んでいないかを人が確認してください。出典はGitHub公式発表で、10月17日に確認しました。