Nota:
El examen de IA para repositorios está en versión preliminar y está sujeto a cambios.
El examen de IA para repositorios usa una infraestructura propietaria que aprovecha varios modelos, cuando están disponibles, para buscar vulnerabilidades de seguridad en la rama predeterminada del repositorio. Admite todos los idiomas, ampliando la cobertura más allá CodeQLde los idiomas admitidos y buscando vulnerabilidades adicionales en los lenguajes que CodeQL ya analiza. Ejecute análisis a petición, independientemente de CodeQL.
El análisis de IA para repositorios agrega resultados al code scanning backlog junto con CodeQL las alertas. Puede usar flujos de trabajo existentes para asignar alertas, aplicar agentic autofix, incluir alertas en campañas de seguridad y vincularlas a problemas.
Availability
La disponibilidad depende de quién posee el repositorio y su visibilidad.
| Propietario del repositorio | Visibilidad | Disponibilidad y requisitos |
|---|---|---|
| Organización | Public | Disponible sin una licencia de colaborador con commits activo |
| Organización | Privado o interno | Disponible con GitHub Code Security o GitHub Advanced Security |
| Cuenta personal | Public | Available |
| Cuenta personal | Privada | No disponible |
No necesita una GitHub Copilot licencia.
Facturación
Puede ejecutar AI Scan para repositorios a petición y cada examen consume Code SecurityAI credits. Este uso es independiente de las licencias para committers activos.
El uso se factura a la cuenta responsable de la facturación de la organización.
En el caso de los repositorios públicos que pertenecen a una cuenta personal, el uso se factura a esa cuenta personal a menos que el propietario del repositorio tenga una GitHub Copilot licencia proporcionada por una organización o empresa. En ese caso, el uso se factura a la organización o empresa que proporciona la licencia.
Si la cuenta de facturación recibe incluida AI credits a través de un GitHub Copilot derecho de uso, AI Scan usa primero esos créditos. Una vez agotados los créditos incluidos, o si la cuenta no tiene créditos incluidos, el uso se mide y se rige por los presupuestos aplicables. Si un presupuesto estricto no deja Code SecurityAI credits disponibles, AI Scan no puede generar resultados. El análisis se reanuda cuando un administrador aumenta el presupuesto de limitación o comienza un nuevo ciclo de facturación.
El examen de IA para repositorios tiene algunos límites para evitar que consuma cantidades muy altas de presupuesto. Los pasos de detección están limitados a 30 minutos y 150 000 AI credits.
Para obtener más información, vea GitHub Advanced Security facturación de licencias.
Cómo funciona AI Scan
Los usuarios con acceso de escritura a un repositorio desencadenan manualmente un análisis de la rama predeterminada del repositorio. El agente de IA busca en el repositorio para identificar archivos y funciones que se van a examinar. Selecciona código para un análisis adicional en lugar de leer todos los archivos en su totalidad. El agente se ejecuta dentro de un presupuesto de tiempo. Cuando se agota ese presupuesto, deja de buscar e informa de sus hallazgos.
Ai Scan se ejecuta independientemente de CodeQL. Si el repositorio ya tiene CodeQL alertas, AI Scan usa esas alertas para suprimir los resultados coincidentes.
Cómo aparecen los resultados de AI Scan en la cola de pendientes de análisis de código
Cuando finaliza un análisis, sus hallazgos aparecen como alertas en la lista de alertas del code scanning repositorio, en la pestaña Seguridad y calidad, junto con las alertas de CodeQL. Puede filtrar la lista por la herramienta AI Scan para centrarse en estos hallazgos.
Utilice los filtros de gravedad de alerta existentes para priorizar los hallazgos para su evaluación. Puede asignar alertas, vincularlas a problemas, incluirlas en campañas de seguridad o usar agentic autofix para ayudar a corregirlas. Consulte Evaluación de alertas de análisis de código para el repositorio.
Durante versión preliminar pública, la combinación de una posible corrección no desencadena automáticamente otro AI Scan. Debe desencadenar manualmente un nuevo análisis para comprobar si hay alertas resueltas.
La alerta solo se cerrará automáticamente si la corrección aplicada cambia la línea exacta de código que desencadenó la alerta. De lo contrario, debe cerrar manualmente la alerta.
Limitations
- Los análisis solo analizan la rama predeterminada.
- Los análisis se desencadenan manualmente. No se admiten análisis programados ni análisis automáticos al hacer push.
- El agente selecciona el código que se va a examinar dentro de un límite de tiempo. Un examen no analiza exhaustivamente todos los archivos ni garantiza que encuentre cada vulnerabilidad.
- La coincidencia con las alertas existentes CodeQL se realiza sobre la base de un mejor esfuerzo, por lo que se pueden producir alertas duplicadas.
- Los hallazgos generados por ia pueden ser inexactos. Revise cada hallazgo antes de decidir cómo abordarlo.
Para obtener instrucciones sobre el uso responsable de las características de seguridad con tecnología de inteligencia artificial, consulte Tarjeta de la aplicación: funciones de IA de GitHub para seguridad y calidad.
Idiomas admitidos
AI Scan para repositorios admite todos los idiomas, incluidos los que ya son compatibles con CodeQL. Úselo junto con CodeQL para encontrar vulnerabilidades adicionales o ampliar la cobertura de análisis a idiomas que CodeQL no admite.
Habilitación del escaneo de IA para repositorios
Antes de habilitar AI Scan para repositorios, confirme la idoneidad del repositorio, revise la cobertura incluida de la cuenta de facturación AI credits y configure los presupuestos para el uso medido.
- Empresa: los propietarios de la empresa pueden permitir o impedir que las organizaciones habiliten AI Scan para repositorios. Esta directiva controla el examen de IA en las solicitudes de cambios y el examen de IA para el backlog de un repositorio. La directiva se establece en "No permitido" de forma predeterminada. Permitir el examen de IA no lo habilita automáticamente. Consulte Aplicación de directivas de seguridad y análisis de código de la empresa.
- Organización: los propietarios de la organización y los administradores de seguridad pueden habilitar AI Scan para repositorios aptos. Los repositorios heredan la configuración de la organización. Consulte Configuración de seguridad global para su organización.
- Repositorio propiedad de la organización: los usuarios con acceso de administrador al repositorio pueden optar por no participar cuando la organización ha habilitado el examen de IA. No pueden inscribirse cuando la configuración de la organización está deshabilitada. Para deshabilitar la función, vaya a la página "Configuración" del repositorio, en "Advanced Security" y, a continuación, en "Code Security", desactive AI Scan for repositories.
Pasos siguientes
Para ejecutar un examen y administrar las alertas resultantes, consulte Visualización y administración de alertas de análisis de IA en la rama predeterminada de tu repositorio.