事件经过
在GitHub Universe（2026年10月28日）上，GitHub推出了AI应用程序代码扫描的公开预览版：它会自动在拉取请求上运行，并标记间接提示注入（XPIA）、敏感信息披露以及代理代码中的过度权限，同时在PR中提供内联修复指导。它需要GitHub Advanced Security，且尚未在GitHub Enterprise Server上提供。
影响分析
这使得AI特定风险检测（OWASP LLM Top 10）在主流的代码托管工作流中于PR阶段原生化，而非附加扫描器，并与GitHub的配套预览功能（AI代码库扫描、推送保护中的AI检测密钥、包防火墙）相辅相成。
适用范围
任何使用GitHub Advanced Security并交付代理/LLM应用的团队应立即启用此功能，在合并前拦截间接提示注入。在拉取请求审查流水线中评估；仅使用GHES的团队暂缓。