Michael JohnsonAm 15. Oktober 2026 gab GitHub Agentic Autofix für Code-Scanning-Warnungen allgemein frei. Copilot untersucht die mit dem Problem verbundene Codebasis, schlägt eine Korrektur vor und prüft die Änderungen. Anschließend erstellt das Tool einen Pull-Request-Entwurf, den Entwicklerinnen und Entwickler überprüfen können. So verbindet die Automatisierung ein gefundenes Problem mit einer vorbereiteten Codeänderung, die sich prüfen lässt.
Agentic Autofix lässt sich Warnungen in der Liste offener Aufgaben für den Standardbranch zuweisen. GitHub beschreibt außerdem, wie eine oder mehrere Warnungen zugewiesen werden können, auch über eine Sicherheitskampagne. Laut Dokumentation startet die Zuweisung für jede Warnung eine eigene Agentensitzung.
Was genau prüft der Agent?
Laut der Ankündigung zur allgemeinen Verfügbarkeit von Agentic Autofix kann Copilot die für das Problem relevanten Dateien auch außerhalb der vom Scanner markierten Datei untersuchen, einen Patch erstellen und einen Pull Request mit einer Beschreibung der Änderung öffnen. Das Team kann den vorgeschlagenen Diff prüfen, eine Überarbeitung anfordern oder ihn ablehnen.
Zur Überprüfung führt GitHub CodeQL mit einer Reihe von Code-Scanning-Abfragen erneut aus. Bei Warnungen aus benutzerdefinierten CodeQL-Abfragen, dem Satz security-extended und Tools von Drittanbietern kann diese Prüfung nicht bestätigen, dass das Problem behoben wurde. In diesen Fällen muss das Team das Ergebnis selbst bewerten. GitHub empfiehlt, die erstellten Änderungen vor dem Zusammenführen zu prüfen und zu testen.
Verfügbarkeit und Kosten hängen von der Konfiguration ab
Die Verfügbarkeit richtet sich nach dem Repository-Typ und dem verbundenen Produkt. Laut GitHub-Dokumentation ist Agentic Autofix für geeignete Organisations-Repositories mit GitHub Team oder GitHub Enterprise Cloud verfügbar, sofern GitHub Code Security aktiviert ist. Es steht außerdem für geeignete öffentliche Repositories persönlicher Konten zur Verfügung. Die Funktion muss auf Organisations- und, falls die Organisation zu einem Unternehmen gehört, auf Unternehmensebene erlaubt werden. Repository-Administratoren können die Einstellung innerhalb der durch diese Richtlinien festgelegten Grenzen verwalten.
Jede Agentic-Autofix-Sitzung verbraucht AI Credits für Code Security und GitHub-Actions-Minuten. Vor dem Start sollte das Team prüfen, welche Repositories geeignet sind, wer Warnungen zuweisen darf und wie die Kosten berücksichtigt werden. Die separate Funktion Copilot Autofix schlägt für eine einzelne Warnung eine Änderung vor und folgt einem anderen Ablauf.
Ein sinnvoller Einstieg ist, dem Agenten einige geeignete Warnungen im Standardbranch zuzuweisen und anschließend den Diff, die CodeQL-Ergebnisse und den Ressourcenverbrauch zu prüfen. Agentic Autofix erstellt eine Korrektur und einen Pull-Request-Entwurf; das Team überprüft die Änderung und entscheidet, ob sie zusammengeführt werden kann.