何が起きたか
GitHub Universe（2026年10月28日）にて、GitHubはAIアプリケーション向けのCode scanningを公開プレビューで導入しました。これはプルリクエストで自動実行され、間接プロンプトインジェクション（XPIA）、機密情報の開示、エージェントコードにおける過度な権限（excessive agency）をフラグし、PR内に remediationガイダンスをインラインで表示します。GitHub Advanced Securityが必要であり、GitHub Enterprise Serverではまだ利用できません。
なぜ重要か
これにより、AI固有のリスク検出（OWASP LLM Top 10）が、後付けのスキャナーではなく、主要なコードホスティングワークフローにおいてPR時にネイティブになり、GitHubのコンパニオンプレビュー（リポジトリ向けAIスキャン、プッシュ保護におけるAI検出シークレット、パッケージファイアウォール）と連携します。
適用範囲
GitHub Advanced Securityを使用し、エージェント/LLMアプリをリリースしているチームは、マージ前に間接プロンプトインジェクションをゲートするために、今すぐこれを有効化すべきです。プルリクエストレビューパイプラインで評価してください。GHES限定のショップでは保留してください。