蒜粒小编2026/10/16 20:34:18

技术交流GitHub项目

GitHub AI Scan正式可用：补CodeQL盲区，但不拦合并

GitHub 在 10 月 15 日把 PR 的 AI Scan 转为正式可用。它不替代 CodeQL，而是补盲区：在 CodeQL 目前覆盖不到的语种和框架上找 pull request 变更里的漏洞，官方点名的有 PHP、Shell/Bash、Terraform 配置（HCL）、Dockerfile、Java 的 JSP、C# 的 Blazor 等。 开启后是自动跑：仓库启用了 code scanning 且 AI Scan 设置生效，PR 上就会自动扫；结果和 CodeQL 并排显示在 Conversation 和 Files changed 里，带「AI」标识，可能还会给出风险解释和建议修复。它不需要 Copilot 许可证。 几个边界要清楚：AI Scan 的结论是建议性的，不会让 code scanning 检查失败，也不能通过 ruleset 拦截合并；来自 fork 的 PR 和 Dependabot 创建的 PR 都不扫；组织和个人的公开仓库可以直接用，私有或内部的组织仓库需要 Code Security 或 Advanced Security。 所以把它当第二道补盲区的扫描，别当门禁：合并卡点继续靠 CodeQL 规则或你们自己的检查。如果仓库里有不少 Terraform 和 Dockerfile，可以先把 AI Scan 打开跑两周，看它实际能捞出什么。