GitHubのコードスキャン、PR上でAIによるセキュリティ検出を表示へ

何が新しく入ったのか

GitHubは7月14日の公式Changelogで、code scanningがpull request内にAI-powered security detectionsを表示し始めると発表しました。この機能はgithub.comでのpublic previewで、GitHub Code Security、つまりGitHub Advanced Securityの顧客が対象です。

従来のcode scanningは、CodeQLのような静的解析の結果をもとに脆弱性を見つける流れでした。今回の発表で違うのは、AI検出エンジンが見つけたセキュリティ上の疑わしい箇所もPR画面にあわせて表示する点です。GitHubは、この結果にAIラベルを付け、CodeQLの結果と区別できるようにすると説明しています。

CodeQLを置き換えるという意味ではない

今回の機能は、CodeQLをなくすという発表ではありません。GitHubの説明によると、AI security detectionsを使うにはエンタープライズポリシーで許可されている必要があり、組織単位で有効化し、対象リポジトリではCodeQL default analysisがオンになっている必要があります。

簡単に言えば、CodeQLは今も基本の骨組みであり、AI検出はその横で死角を減らす補助的な検出レイヤーに近い位置づけです。GitHubも、CodeQLが直接サポートしていない言語やフレームワークまで検出範囲を広げることを主な利点として説明しています。

PR上ですぐ見えることが重要な理由

セキュリティ検出が別のダッシュボードにだけ残る場合、開発者が後から確認することも少なくありません。今回の機能では、pull requestが開かれたり更新されたりするとAI検出が実行され、結果が返り次第PRに表示されます。GitHubは、すべての解析が終わるまで待つ必要はないと説明しています。

この流れは、開発チームにとってかなり実用的です。コードがmainブランチに入る前に、「この変更にはセキュリティ上気になる部分がある」というシグナルを受け取れるためです。特にCodeQLの標準サポート範囲外のコードが多いチームなら、完璧な答えではなくても、レビューの出発点が増える効果があります。

注意点もはっきりしている

GitHubは、今回のAI検出結果がinformationalな性格のものであり、PRのマージを自動で止めるものではないと明らかにしています。これは利点でもあり、限界でもあります。自動ブロックによって開発が止まるリスクは減りますが、見つかった項目を実際に直すかどうかは、チームのレビュー文化とポリシーに左右されます。

また、public preview期間中はGitHub Copilotライセンスが必要で、検出が実行される際には組織のAI creditsを使用します。そのため、「AIがセキュリティをさらに見てくれる」という一文だけでオンにするのではなく、どのリポジトリから先に適用するのか、誤検知への対応や使用量のモニタリングをどうするのかを決めておく必要があります。

Game Sunakku式まとめ

今回の発表は、前日のCodeQL 2.26.0におけるプロンプトインジェクション検出から続く流れとして見ることができます。AI時代のセキュリティツールは、単に脆弱性名を増やすだけでは終わらず、開発者が実際にコードをマージするPR画面までAIレビューを押し込む方向へ動いています。

まとめると、GitHubの新しいcode scanning機能は「AIがコードを代わりに直してくれる」というより、AIがセキュリティレビューの初期シグナルをより広く投げてくれるものに近いです。開発者はこれを自動判定機として見るのではなく、CodeQL・人によるレビュー・組織ポリシーの間に置かれる新しい補助レイヤーとして理解するほうが安全です。