GitHub Copilotアプリで警告の確認から修正まで、変更はローカルのみ

GitHubは2026年10月28日、GitHub Copilotアプリ内でコードスキャン警告の確認から修正支援まで進められるセキュリティ拡張機能を、パブリックプレビューで公開しました。Fixが変更するのは手元の作業コピーだけで、コミットやプッシュは行いません。

警告の理由と該当コードを、同じアプリで確認

コードスキャンは、リポジトリのコードを自動チェックし、セキュリティ上の問題の可能性を警告する仕組みです。拡張機能では未解決の警告が深刻度順に並び、検索やフィルターで絞り込めます。

警告を開くと詳細と該当コードが表示され、1件または複数件を選んでExplainやFixを依頼できます。詳しい背景が必要ならgithub.comの警告ページも開けます。提案された変更は開発者が確認・調整し、準備ができてからプッシュします。

警告に関連づけられたプルリクエストも表示されるため、誰かがすでに修正に取り組んでいるかを把握できます。対応しない警告はDismissで却下できますが、組織が却下の承認制を導入している場合は、承認申請として送られます。

プルリクエストを開く前に、手元の変更をレビュー

/security-reviewを実行すると、現在の変更に対するレビュー結果が既存のコードスキャン警告と並んで表示されます。前回のレビュー後にコードが変わったことも通知されるので、再レビューのタイミングを判断できます。

このローカルレビューは、リポジトリのコードスキャンを有効にする操作ではありません。チャットで警告について質問することもでき、拡張機能のツールは設定済みのツール権限に従って使われます。

ローカルレビューと既存警告では、利用条件が違う

どのCopilotプランでも、拡張機能のインストールとローカル変更への/security-reviewを利用できます。ただし、Copilot BusinessとCopilot Enterpriseでは、管理者によるGitHub Copilotアプリのポリシー有効化が必要です。管理者はエンタープライズ管理設定で、インストールできるプラグインを制限することもできます。

既存の警告を表示・修正・却下するには、対象リポジトリでコードスキャンが有効になっており、警告の閲覧権限があることが条件です。プライベートリポジトリでは、さらにGitHub Code Securityが必要になります。

対応先はgithub.comと、データレジデンシー付きのGitHub Enterprise Cloudです。GitHub Enterprise Serverには対応していません。

導入はコマンドかアプリから。AI処理にはクレジットを使用

ターミナルから導入する場合は、次のコマンドを実行します。

copilot plugin install github-security@awesome-copilot

アプリから導入する場合は、Customizeでgithub-securityを検索し、+ Installを選びます。どちらか一方の方法でインストールすれば自動的に有効になり、対象リポジトリのセッションからSecurityキャンバスを開けます。

Explain、Fix、/security-reviewは、アプリで選択したモデルを使い、通常のプロンプトと同様にAIクレジットを消費します。警告の閲覧と却下にはAIを使いません。