Hinweis
AI Scan für Repositories ist in der Öffentliche Vorschau und kann geändert werden.
AI Scan für Repositorys verwendet ein proprietäres Harness, das mehrere Modelle nutzt, wenn verfügbar, um Sicherheitsrisiken im Standardzweig Ihres Repositorys zu finden. Es unterstützt alle Sprachen, erweitert die Abdeckung über CodeQLunterstützte Sprachen hinaus und findet zusätzliche Sicherheitsrisiken in Sprachen, die CodeQL bereits analysiert. Sie führen Scans bei Bedarf unabhängig von CodeQL.
AI Scan für Repositorys fügt Ihrem code scanning Backlog neben CodeQL Warnungen Ergebnisse hinzu. Sie können vorhandene Workflows verwenden, um Warnungen zuzuweisen, agentic autofix anzuwenden, Warnungen in Sicherheitskampagnen einzuschließen und sie mit Problemen zu verknüpfen.
Availability
Die Verfügbarkeit hängt davon ab, wem das Repository gehört und wie sichtbar es ist.
| Repositorybesitzer | Sichtbarkeit | Verfügbarkeit und Voraussetzungen |
|---|---|---|
| Organisation | Public | Verfügbar ohne eine aktive-Committer-Lizenz |
| Organisation | Privat oder intern | Verfügbar mit GitHub Code Security oder GitHub Advanced Security |
| Persönliches Konto | Public | Available |
| Persönliches Konto | Privat | Nicht verfügbar |
Sie benötigen keine GitHub Copilot Lizenz.
Abrechnung
Sie führen AI Scan für Repositorys bei Bedarf aus, und jeder Scan verbraucht Code SecurityAI credits. Diese Verwendung ist getrennt von der Active-Committer-Lizenzierung.
Die Nutzung wird dem Konto in Rechnung gestellt, das für die Abrechnung der Organisation verantwortlich ist.
Für öffentliche Repositorys, die sich im Besitz eines persönlichen Kontos befinden, wird die Nutzung diesem persönlichen Konto in Rechnung gestellt, es sei denn, der Repositorybesitzer verfügt über eine GitHub Copilot Lizenz, die von einer Organisation oder einem Unternehmen bereitgestellt wird. In diesem Fall wird die Nutzung der Organisation oder dem Unternehmen in Rechnung gestellt, die bzw. das die Lizenz bereitstellt.
Wenn das Abrechnungskonto über eine AI credits-Berechtigung enthaltene GitHub Copilot erhält, verwendet AI Scan zuerst diese Gutschriften. Nachdem die enthaltenen Guthaben ausgeschöpft wurden oder wenn das Konto keine enthaltenen Guthaben hat, wird die Nutzung nach Verbrauch abgerechnet und von den geltenden Budgets geregelt. Wenn ein hartes Budget keine Code SecurityAI credits Ressourcen verfügbar lässt, kann AI Scan keine Ergebnisse erzeugen. Das Scannen wird fortgesetzt, wenn ein Administrator das limitierende Budget erhöht oder ein neuer Abrechnungszyklus beginnt.
Die KI-Überprüfung für Repositorys hat einige Beschränkungen, um zu verhindern, dass sie sehr hohe Budgetbeträge verbrauchen. Erkennungsschritte sind auf 30 Minuten und 150.000 AI creditsbegrenzt.
Weitere Informationen findest du unter GitHub Advanced Security Lizenzabrechnung.
So funktioniert AI Scan
Benutzer mit Schreibzugriff auf ein Repository lösen manuell einen Scan der Standardverzweigung des Repositorys aus. Der KI-Agent sucht im gesamten Repository, um Dateien und Funktionen zu identifizieren, die untersucht werden sollen. Es wählt Code für eine weitere Analyse aus, anstatt jede Datei vollständig zu lesen. Der Agent läuft innerhalb eines Zeitbudgets. Wenn dieses Budget erschöpft ist, stoppt es die Suche und meldet seine Ergebnisse.
AI Scan wird unabhängig von CodeQL. Wenn das Repository bereits Warnungen enthält CodeQL , verwendet AI Scan diese Warnungen, um übereinstimmende Ergebnisse zu unterdrücken.
Wie AI Scan-Ergebnisse im Codescan-Backlog angezeigt werden
Wenn eine Überprüfung abgeschlossen ist, werden die Ergebnisse als Warnungen in der code scanning Warnungsliste des Repositorys auf der Registerkarte „Sicherheit und Qualität“ neben Warnungen von CodeQL angezeigt. Sie können die Liste nach dem KI-Scan-Tool filtern, um sich auf diese Ergebnisse zu konzentrieren.
Verwenden Sie die vorhandenen Warnungsschweregradfilter, um Befunde für die Bewertung zu priorisieren. Sie können Warnungen zuweisen, sie mit Issues verknüpfen, sie in Sicherheitskampagnen einschließen oder agentic autofix verwenden, um sie zu beheben. Siehe Bewertung von Code-Scanning-Warnungen für Ihr Repository.
Während Öffentliche Vorschauder Zusammenführung eines potenziellen Fixs wird kein weiterer AI-Scan ausgelöst. Sie müssen manuell einen neuen Scan auslösen, um zu prüfen, ob Warnungen behoben wurden.
Die Warnung wird nur automatisch geschlossen, wenn die angewendete Korrektur die genaue Codezeile ändert, die die Warnung ausgelöst hat. Andernfalls müssen Sie die Warnung manuell schließen.
Limitations
- Scans analysieren nur den Standard-Branch.
- Scans werden manuell ausgelöst. Geplante Scans und automatische Scans bei Pushes werden nicht unterstützt.
- Der Agent wählt aus, welcher Code innerhalb eines Zeitbudgets untersucht werden soll. Ein Scan analysiert nicht vollständig jede Datei oder garantiert nicht, dass er jede Sicherheitsanfälligkeit findet.
- Der Abgleich mit vorhandenen CodeQL Warnungen erfolgt nach bestem Bemühen, sodass doppelte Warnungen auftreten können.
- KI-generierte Erkenntnisse können ungenau sein. Überprüfen Sie jedes Ergebnis, bevor Sie entscheiden, wie es adressiert werden soll.
Hinweise zur verantwortungsbewussten Verwendung von KI-basierten Sicherheitsfunktionen finden Sie in Anwendungskarte: KI-Funktionen für Sicherheit und Qualität in GitHub.
Unterstützte Sprachen
AI Scan für Repositorys unterstützt alle Sprachen, einschließlich sprachen, die bereits von CodeQL. Verwenden Sie es zusammen CodeQL, um zusätzliche Sicherheitsrisiken zu finden oder die Scanabdeckung auf Sprachen zu erweitern, die von CodeQL nicht unterstützt werden.
Aktivieren des KI-Scans für Repositorys
Bevor Sie AI Scan für Repositorys aktivieren, bestätigen Sie die Eignung des Repositorys, überprüfen Sie die im Abrechnungskonto enthaltenen AI credits, und konfigurieren Sie Budgets für die getaktete Nutzung.
- Unternehmen: Unternehmensbesitzer können zulassen oder verhindern, dass Organisationen AI Scan für Repositorys aktivieren. Diese Richtlinie steuert sowohl AI Scan bei Pull-Requests als auch AI Scan für den Backlog eines Repositorys. Die Richtlinie ist standardmäßig auf "Nicht zulässig" festgelegt. Durch das Zulassen von AI Scan wird sie nicht automatisch aktiviert. Siehe Implementierung von Richtlinien zur Codesicherheit und -analyse für Ihr Unternehmen.
- Organisation: Organisationsbesitzer und Sicherheitsmanager können KI-Scan für Repositorys für berechtigte Repositorys aktivieren. Repositorys erben die Organisationseinstellung. Siehe Konfigurieren globaler Sicherheitseinstellungen für Ihre Organisation.
- Organisationseigenes Repository: Personen mit Administratorzugriff auf das Repository können sich dagegen entscheiden, wenn die Organisation die KI-Überprüfung aktiviert hat. Sie können nicht zustimmen, wenn die Organisationseinstellung deaktiviert ist. Um das Feature zu deaktivieren, wechseln Sie zur Seite „Einstellungen“ des Repositorys unter „Advanced Security“, und schalten Sie dann unter „Code Security“ den KI-Scan für Repositorys aus.
Nächste Schritte
Informationen zum Ausführen einer Überprüfung und Verwaltung der resultierenden Warnungen finden Sie unter Anzeigen und Verwalten von KI-Scanbenachrichtigungen im Standardzweig Ihres Repositorys.