何が起きたか
10月15日、GitHubはコードスキャンにおけるプルリクエスト向けAI ScanのGAを発表した。これは、CodeQLがカバーしない言語/フレームワーク（PHP、Shell/Bash、Terraform/HCL、Dockerfiles、JSP、Blazor/C#）のPR変更における脆弱性を検出するAI駆動の検出器である。検出結果はCodeQLとともに「AI」インジケーター付きで表示され、リスクの説明や推奨自動修正を含めることができ、Code Security AI Creditsを消費する。パブリックリポジトリでは追加費用なしで利用可能で、プライベートリポジトリではCode Security/Advanced Security経由で利用できる。
なぜ重要か
これは、基礎的なコードプラットフォームからのGAセキュリティ機能であり、AI時代のアプリセキュリティにおける実際のカバレッジギャップ（非CodeQL言語）を自動修正提案で埋めるもので、既存のコードスキャンワークフローに乗るため摩擦がほぼゼロである。これは、AI生成コード量に対抗するため、AIシークレット検出（ModernBERT）を介してすでに拡大しているGitHubのAIネイティブな多層防御の立場を強化する。
適用範囲
GitHub Advanced Security/Code Securityのお客様およびオープンソース組織は、CodeQLが見逃す言語をカバーするためにPR向けAI Scanを有効化すべきである。また、AIコードスキャンを評価しているセキュリティおよびDevExチームは、PHP/Shell/Terraform/Dockerリポジトリで試用すべきである。