GitHub、プルリクエスト向け「AI Scan」を正式提供

何が発表されたか

• AI Scan for pull requestsがGAになった。CodeQLを補完する位置づけで、CodeQLが扱わない言語・フレームワークのプルリクエスト差分を検査する。
• カバー範囲として、PHP、Shell／Bash、Terraform（HCL）、Dockerfile、JavaのJSP、C#のBlazorなどが挙げられている（「and more」と付記あり）。
• 検出結果はPRのConversationタブとFiles changedタブに「AI」の表示付きで現れる。リスクの説明と修正案（autofix）を含むことがある。
• 提供範囲は、組織または個人アカウント所有の公開リポジトリが対象。非公開・内部の組織リポジトリはGitHub Code SecurityまたはGitHub Advanced Securityが必要。GitHub Copilotライセンスは不要。
• コードスキャンとリポジトリの実効AI Scan設定が両方有効なときに、プルリクエストで自動実行される。

開発者への影響

• PHPとDockerfile、Terraformが入っているのは実務上大きい。WordPressテーマ・プラグインの受託開発やLaravel案件、インフラのIaCがCodeQLの死角だったチームには、そのまま穴埋めになる。
• 検出結果は参考情報（advisory）で、コードスキャンのチェックを失敗させず、rulesetによるマージブロックもできない。ゲートとして使えないので、レビュー観点のチェックリストに組み込む運用が現実的。
• フォークからのPRとDependabotが作成したPRでは実行されない。OSSへの外部コントリビュートを受ける構成では、別の防御を残しておく必要がある。
• 課金はCode Security AI Creditsを消費し、Enterpriseの請求では「Advanced Security」配下の「AI usage」に表示される。SKU単位の予算設定が可能。公開リポジトリのみの運用なら追加コストを抑えられる。

利用条件

具体的な単価や1スキャンあたりのレートは告知に記載されていない。