GitHubは2026年10月15日、コードスキャン（code scanning｜コードの弱点を自動で検査する仕組み）のアラートをAIエージェントが直すagentic autofixの一般提供を発表しました。GitHubのコードスキャンが出した指摘に対して自動修正AIが修正案を作り、レビュー用のプルリクエストまで用意する流れです。自分のリポジトリでどこまで使えるのかを、出典にある記載だけで整理します。
要点
- Agentic autofix for code scanning alertsが一般提供（generally available）になった
- アラートをCopilotに割り当てると、関連ファイルを探索して修正案を作り、CodeQLを再実行して検証したうえでdraft pull requestを開く
- 対象はGitHub Enterprise CloudのGitHub Code SecurityとGitHub Advanced Securityの顧客で、data residency付きのGitHub Enterprise Cloudも含む
- 使えるのはデフォルトブランチのbacklog alert（対応待ちのアラート）だけで、最大25件を1つのプルリクエストにまとめて任せられる
- agentic autofixが有効でないリポジトリでは、従来のGitHub Copilot Autofixで一段階の修正案を作れる。こちらはGitHub.comのすべてのpublic repositoryで使える
何が発表されたか
agentic autofixは、開発者がやるようにコードベース全体を横断してアラートに対処します。関連するファイルを探索し、修正案を提示し、CodeQL（GitHubのコード解析エンジン）を再実行してその修正でアラートが閉じることを確認してから、レビュー用のプルリクエストを開きます。
アラートをCopilotに割り当てたあとの動きは4段階です。第一にリポジトリ全体から関連ファイルを探索し、第二に修正案を生成し、第三にCodeQLを再実行して修正が機能することを検証し、第四に必要なら反復してから、レビューできる状態のdraft pull requestを開きます。
できあがったプルリクエストには、修正の要約、なぜそのアラートが閉じるのか、Copilotが動作確認のために踏んだ検証手順が入ります。さらに直してほしい点があれば、プルリクエストにコメントするか、リポジトリのAgentsタブでセッションを操作して、Copilotに追加の変更を指示できます。ドキュメントでは、draft pull requestは通常数分で開かれ、作成者はCopilotであること、エージェントのセッションログで詳細を確認してその場でやりとりできることが説明されています。プルリクエストのコメントでCopilotにメンションして反復を頼むこともできます。
有効になっていると、個別のコードスキャンアラートでは無料のGenerate Fixの代わりにAssign to Copilotボタンが表示されます。入口は3通りです。デフォルトブランチのアラート画面から割り当てる方法、リポジトリのセキュリティアラート一覧やsecurity campaignで最大25件を選んで1つのプルリクエストにまとめて直してもらう方法、Update a Code Scanning Alert REST APIでassigneesに["copilot-swe-agent[bot]"]を設定する方法です。まとめて割り当てた場合も、1回の割り当てで作られるエージェントのセッションとプルリクエストはそれぞれ1つです。
提供範囲は、GitHub Enterprise CloudのGitHub Code SecurityとGitHub Advanced Securityの顧客で、data residency付きのGitHub Enterprise Cloudを含みます。なお、この機能を使うのにGitHub Copilotのライセンスは必要ありません。
有効化と課金の条件も示されています。まずenterprise administratorがAdvanced Security policiesの新しい「Agentic autofix」ポリシーでアクセスを有効にし、そのうえで組織またはリポジトリの管理者が、組織かリポジトリのCode Security設定でagentic autofixをオンにします。アクセスにはCopilotの課金方法（Copilot billing method）が定義されていることも必要です。課金はCode Security予算のAI CreditsとGitHub Actionsの分数を消費し、AI Creditの使用量はenterprise billing and licensingの「AI usage」セクションに「Advanced Security」製品として表示されます。Code SecurityのAI creditsにはSKUレベルの予算も設定できます。
個人の仕事や学びにどう使えるか
副業でWebアプリを公開している会社員エンジニアの場合、個人のpublic repositoryで試せるのはGitHub Copilot Autofixです。agentic autofixが有効でないリポジトリでも、対応している範囲で一段階の修正案を生成でき、Copilot AutofixはGitHub.comのすべてのpublic repositoryと、GitHub Code Securityのライセンスを持つ組織や企業が所有するinternalまたはprivateリポジトリで利用できます。アラート画面でGenerate fixを押し、Create PR with fixを押すと、デフォルトブランチから新しいブランチが作られ、修正がコミットされてdraft pull requestができます。
フリーランスのWeb制作や受託開発で、勤務先やクライアントのEnterprise Cloud環境を触る人は、溜まったアラートの棚卸しに使えます。手順はリポジトリのSecurity and qualityタブを開き、左のサイドバーでCode scanningを選び、アラート名をクリックし、ページ上部のAssigneesからAssign to Copilotを押すだけです。一覧側で最大25件を選んでまとめて割り当てることもできます。
学び直し中の人や情シス担当にとっては、教材としての使い道もあります。プルリクエストには修正の要約と、なぜアラートが閉じるのかの説明、検証手順が書かれるため、脆弱性の直し方を具体例で読む材料になります。
会社・チームで使うときのポイント
導入は管理者側の設定が前提で、enterprise administratorがポリシーでアクセスを有効にしたあと、組織またはリポジトリの管理者がCode Security設定でオンにする流れです。費用はCode Security予算のAI CreditsとGitHub Actionsの分数を消費するため、使用量の見え方と予算の決め方をあらかじめ揃えておくと運用しやすいでしょう。株式会社デジライズは法人向けAIリスキリングサービスで導入社数No.1（東京商工リサーチ・2026年3月末時点）で、累計600社超・5万人以上のAI活用を支援しています。
使う前の注意点
この機能を使えるのは書き込み権限（write access）を持つユーザーです。agentic autofixが対象とするのはリポジトリのデフォルトブランチのbacklog alertだけで、プルリクエストや他のブランチでのみ検出されたアラートはCopilotに割り当てられません。また、Copilotの検証はベストエフォートで行われ、修正を検証できない場合や、アラートが誤検知かもしれないと判断した場合は、その旨がプルリクエストに書かれます。Copilot Autofixについても、すべてのアラートで必ず修正を生成できるわけではなく、100%成功する保証はないとされています。AI CreditsとActionsの分数を消費する点も踏まえ、使う前に公式のヘルプで最新の提供範囲と課金の扱いを確かめておくと安心です。
まとめ
アラートをCopilotに割り当てれば、探索から修正案の作成、CodeQLでの再検証、draft pull requestの作成までをAIが進めてくれるのが今回の一般提供の中身です。個人のpublic repositoryならCopilot Autofixから、組織のEnterprise Cloud環境なら管理者の設定を経てagentic autofixから、手元のアラートで小さく試すのが現実的でしょう。AIの使い方を体系的に学びたい人は、デジライズAIスクールのコース一覧から始められます。デジライズAIスクールは個人向けのオンラインAIスクールで、動画は990本以上あります。
出典
- Agentic autofix for code scanning alerts general availability - GitHub Changelog
- Resolving code scanning alerts - GitHub Docs
この記事は、各社の公式の発表をもとに AI で下書きし、出典の本文との照合とGoogle 検索による事実確認（ファクトチェック）を通ったものだけを公開しています。
