GitHub、コードスキャンのAI ScanをREST APIで組織単位に設定可能へ

何が発表されたか

GitHubは2026年11月13日、コードスキャンの AI Scan（リポジトリ向け） を REST API から設定できるようにしたと告知しました。パブリックプレビューでの提供です。

• 対象エンドポイント: /orgs/{org}/code-scanning/ai-scan と /repos/{owner}/{repo}/code-scanning/ai-scan（GET／PATCH）
• 設定するプロパティ: repository_scan を enabled または disabled に指定
• 既存のプルリクエスト向けスキャン設定 pr_scan とは別の設定で、同一リクエストで両方を変更することも可能
• どちらかの変更が拒否された場合は 422 エラーを返し、いずれの設定も変更されない
• リポジトリは組織の設定を継承し、リポジトリ単位でのオプトアウトが可能

管理権限と提供範囲は次のとおりです。

• 組織の設定は Organization owner と security manager が管理。リポジトリ管理者は個別リポジトリをオプトアウトできる
• 組織が所有するパブリックリポジトリ、および GitHub Code Security／GitHub Advanced Security を利用するプライベート・内部リポジトリで利用可能
• Enterprise owner が先に Enterprise ポリシーで AI Scan を許可する必要がある
• GitHub Enterprise Server は非対応

なお、機能を有効にしただけではスキャンは開始されません。書き込み権限を持つユーザーが任意のタイミングで実行する形で、各スキャンは GitHub Code Security AI クレジットを消費します。

取るべき対応

該当する人: GitHub 上で組織リポジトリを管理している人、複数リポジトリのセキュリティ設定をまとめて運用している受託開発・制作会社。

• 多数のリポジトリを抱えている場合、これまで画面からの設定が必要だった AI Scan をスクリプトで一括設定できるようになります。新規リポジトリ作成時の初期設定に組み込むのが現実的な使い方です。
• 有効化するだけでは費用は発生しませんが、スキャン実行ごとに AI クレジットを消費します。どのリポジトリで誰がいつ実行するかの運用ルールを決めてから展開するのが安全です。書き込み権限者が任意に実行できる点に注意してください。
• Enterprise 契約の場合は、Enterprise ポリシー側での許可が前提になります。組織レベルで設定しようとして通らない場合は、まずそこを確認してください。
• GitHub Enterprise Server を使っている環境では利用できないため、オンプレ運用を併用している組織は適用範囲の切り分けが必要です。
• パブリックプレビューのため、今後仕様が変わる可能性があります。自動化に組み込む際はエラーハンドリング（422 を含む）を入れておくとよいでしょう。