GitHub、外部コーディングエージェントにも自動セキュリティ検査　Claude・CodexのPRも対象に

何が変わったのか

GitHubは今回のchangelogで、third-party coding agents向けのsecurity validationが一般提供段階に入ったと発表しました。例として、ClaudeとOpenAI Codexのようにリポジトリ内で直接作業するエージェントが挙げられています。

ポイントは提供元の名前ではなく、処理される場所です。つまり、GitHubリポジトリ内で作業したAIコードには同じ方式の自動検査を付けるという意味になります。

どう検査するのか

GitHubの説明によると、エージェントがコードを作ると、CodeQLで潜在的な脆弱性を探し、新しく入った依存関係はAdvisory Databaseを基準に確認し、secret scanningで機密情報の漏えいもあわせて見ます。

ここで目を引くのは、単なる通知で止まらない点です。GitHubは、問題が見つかると、エージェントが先に修正を試みてからPRを仕上げると説明しています。

なぜ意味が大きいのか

最近は、Copilotだけを使うチームよりも、複数のコーディングエージェントを組み合わせて使うチームが増えています。だからこそ今回の発表は、ツールの選択肢が広がっても、リポジトリのセキュリティ基準は一つにまとめるという点に意味があります。

一般読者向けにたとえるなら、配送会社が違ってもマンション入口の保安検査場は同じ、という感覚です。誰が持ってきたかより、何が入ってくるのかを先に見るということです。

まだ注意したい点

GitHubは、この保護機能がリポジトリのCopilot設定に従うと説明しています。つまり、組織がどの検査を有効にしているかによって、実際の保護範囲は変わる可能性があります。

また、自動検査があるからといって、人によるレビューが不要になるわけではありません。ただ今回の変更によって、エージェントベースの開発が速くなるほど一緒に必要になる基本的なセキュリティ手順も、より自然に前段へ寄せられた形です。