GitHub 发布 AI Scan for Pull Requests：填补 CodeQL 代码安全盲区
在代码安全领域，静态分析工具往往受限于特定语言的支持范围。GitHub 近日宣布，其基于 AI 的代码扫描功能 AI Scan for Pull Requests 现已正式进入一般可用（Generally Available）阶段。这一更新标志着 GitHub 在利用生成式 AI 解决遗留代码库及新兴语言安全漏洞方面迈出了关键一步。
核心突破：突破语言与框架的边界
传统的静态分析工具如 CodeQL，虽然强大，但难以覆盖所有现代开发语言。AI Scan 的核心价值在于其互补性：它专门针对 CodeQL 尚未支持的语言和框架进行漏洞检测。
新增支持的语言与框架包括：
- PHP：广泛使用的 Web 后端语言。
- Shell/Bash：系统运维与脚本自动化中的关键语言。
- Terraform (HCL)：云基础设施即代码（IaC）的标准配置语言。
- Dockerfiles：容器镜像构建的关键配置文件。
- JSP (Java)：老牌但仍在使用的 Java Web 技术。
- Blazor (C#)：现代跨平台 UI 框架。
工作原理与用户体验
AI Scan 的工作机制高度自动化且无缝集成：
- 自动触发：当代码扫描功能开启且仓库设置了有效的 AI Scan 策略时，系统会在 Pull Request (PR) 创建时自动运行。
- 结果展示：检测到的漏洞会直接显示在 PR 的 Conversation 和 Files changed 标签页中。
- 智能标注：所有 AI 生成的发现均带有醒目的 “AI” 标识，以便开发者将其与 CodeQL 的检测结果区分开来。
- 辅助修复：每个发现不仅包含风险解释，还会提供自动修复建议（suggested autofix），极大降低了人工修复的安全门槛。
关键特性与限制
为了平衡安全性与开发效率，GitHub 对 AI Scan 的设计采取了审慎的策略：
- 非阻断性：AI Scan 的发现属于建议性（Advisory），绝不会导致代码扫描检查失败，也不会通过规则集要求阻止 PR 合并。这避免了因误报或新语言特性导致的开发流程阻塞。
- 适用范围：
- 公开仓库：组织或个人拥有的公开仓库均可使用。
- 私有/内部仓库：需使用 GitHub Code Security 或 GitHub Advanced Security。
- 无需 Copilot 许可证：开发者无需购买 Copilot 即可使用此功能。
- 排除项：来自 Fork 的 PR 或由 Dependabot 创建的 PR 不会运行此扫描。
计费与生态影响
该功能消耗 Code Security AI Credits。在企业计费中，这部分用量归类于“高级安全”（Advanced Security）产品，并支持按 SKU 设置预算。这一举措不仅降低了中小团队的安全门槛，也推动了 GitHub 生态中 AI 驱动安全工具链的标准化。
“AI Scan 填补了我们在多语言代码库安全覆盖上的空白，让开发者无需在安全性和便利性之间做艰难取舍。” —— GitHub 官方团队
随着 AI Scan 的上线，GitHub 正构建一个更完善的“AI + 静态分析”双重防御体系，为全栈开发提供从基础设施到应用层的全面保护。
