GitHub、コードスキャン警告のエージェント型自動修正をGA

何が発表されたか

• Agentic autofixが一般提供（GA）になった。「開発者と同じようにコードベース全体を横断して警告を解消する」と説明されている。
• 動作は、関連ファイルの探索 → 修正案の作成 → CodeQLの再実行で警告が閉じたかの検証 → レビュー用のドラフトPR作成、という流れ。
• 対象はリポジトリの既定ブランチ上の警告のみ。プルリクエストや他のブランチでのみ検出された警告はCopilotに割り当てられない。
• 1つのPRで最大25件の警告を選んでまとめて修正できる。従来の無償「Generate Fix」ボタンは「Assign to Copilot」ボタンに置き換わる。
• 提供対象はGitHub Enterprise Cloud上のGitHub Code SecurityまたはGitHub Advanced Security顧客（データレジデンシー版を含む）。

開発者への影響

• 有効化は3段階。Enterprise管理者がAdvanced Securityポリシーで「Agentic autofix」を有効化し、組織またはリポジトリ管理者がCode Security設定で有効化し、Copilotの支払い方法を設定する必要がある。
• 課金はCode Security予算のAI CreditsとGitHub Actions分を消費する。無償だったGenerate Fixが置き換わるため、これまで無料で使っていたチームはコスト前提が変わる。SKU単位で予算上限を設定できる。
• 既定ブランチ限定という制約は運用設計に影響する。PR段階で潰したい脆弱性はAI Scanなど別の仕組みに任せ、Agentic autofixは「溜まった既存警告の棚卸し」に使うのが噛み合う。
• 保守契約で脆弱性対応を請けている場合、25件一括のドラフトPRは棚卸し作業の工数見積りを変える。ただしドラフトPRはレビュー前提なので、レビュー工数は残る前提で見積もりたい。

利用条件

対応言語・警告種別の一覧は当該告知には記載がなく、ドキュメント参照が必要。