Michael Johnson2026年10月15日、GitHubはCode Scanningのアラート向けAgentic Autofixの一般提供を発表しました。Copilotは問題に関連するコードベースを調査し、修正案を提案して変更を検証します。その後、開発者がレビューできるよう、ドラフトのプルリクエストを作成します。これにより、問題の検出からレビュー可能なコード変更の準備までを自動化できます。
Agentic Autofixは、デフォルトブランチの未解決アラート一覧からアラートに割り当てられます。GitHubによると、セキュリティキャンペーンなどを通じて、1件または複数のアラートを割り当てることもできます。ドキュメントでは、割り当てるとアラートごとに個別のエージェントセッションが開始されると説明されています。
エージェントが検証する内容
Agentic Autofixの一般提供に関する発表によると、Copilotはスキャナーが指摘したファイル以外の関連ファイルも調査し、パッチを作成して、変更内容を説明するプルリクエストを開くことができます。チームは提案された差分を確認し、修正を依頼することも、却下することもできます。
検証では、GitHubがCode Scanningのクエリセットを用いてCodeQLを再実行します。この検証では、カスタムのCodeQLクエリ、security-extendedクエリセット、またはサードパーティーツールが発したアラートの修正を確認できません。その場合、チームが結果を自ら評価する必要があります。GitHubは、マージする前に生成された変更をレビューし、テストすることを推奨しています。
利用条件と費用は構成によって異なる
利用可否はリポジトリの種類と、有効になっている製品によって異なります。GitHubのドキュメントによると、GitHub TeamまたはGitHub Enterprise Cloudを利用し、GitHub Code Securityを有効にしている組織の対象リポジトリと、個人アカウントの対象となる公開リポジトリでAgentic Autofixを利用できます。組織、および組織が所属する場合はエンタープライズのレベルで利用を許可する必要があります。リポジトリ管理者は、こうしたポリシーの範囲内で設定を管理できます。
Agentic Autofixの各セッションでは、Code Security向けAIクレジットとGitHub Actionsの実行時間が消費されます。開始前に、対象となるリポジトリ、アラートを割り当てられるユーザー、チームでの費用管理方法を確認しておくとよいでしょう。別の機能であるCopilot Autofixは、個々のアラートに対して変更案を1つ提示するもので、異なる手順で動作します。
まずは、メインブランチの対象アラートをいくつかエージェントに割り当て、差分、CodeQLの結果、リソース消費を確認するのが実務的です。Agentic Autofixが修正案とドラフトのプルリクエストを準備し、チームが変更を検証してマージするかどうかを判断します。