Analyse de l’IA pour le backlog d’un dépôt

AI Scan for repositories utilise un harnais propriétaire qui tire parti de plusieurs modèles, le cas échéant, pour rechercher des vulnérabilités de sécurité sur la branche par défaut de votre référentiel. Le produit prend en charge toutes les langues, en étendant la couverture au-delà des langues prises en charge par CodeQL et en recherchant des vulnérabilités supplémentaires dans les langues que CodeQL analyse déjà. Vous exécutez des analyses à la demande, indépendamment de CodeQL.

Ai Scan for repositories ajoute des résultats à votre code scanning backlog en même temps que des alertes CodeQL. Vous pouvez utiliser des flux de travail existants pour affecter des alertes, appliquer agentic autofix aux alertes, inclure des alertes dans des campagnes de sécurité et les lier à des problèmes.

Availability

La disponibilité dépend de la personne qui possède le référentiel et de sa visibilité.

Propriétaire du dépôt	Visibilité	Disponibilité et prérequis
Organisation	Publique	Disponible sans licence de committeur actif
Organisation	Privé ou interne	Disponible avec GitHub Code Security ou GitHub Advanced Security
Compte personnel	Publique	Available
Compte personnel	Privé	Non disponible

Vous n’avez pas besoin d’une GitHub Copilot licence.

Billing

Vous exécutez l’analyse IA pour les dépôts à la demande, et chaque analyse consomme Code SecurityAI credits. Cette utilisation est distincte des licences pour committers actifs.

L’utilisation est facturée au compte responsable de la facturation de l’organisation.

Pour les référentiels publics appartenant à un compte personnel, l’utilisation est facturée à ce compte personnel, sauf si le propriétaire du référentiel dispose d’une GitHub Copilot licence fournie par une organisation ou une entreprise. Dans ce cas, l’utilisation est facturée à l’organisation ou à l’entreprise qui fournit la licence.

Si le compte de facturation reçoit des crédits inclus AI credits via un droit d’utilisation GitHub Copilot, AI Scan utilise d’abord ces crédits. Une fois les crédits inclus épuisés ou si le compte n’a pas de crédits inclus, l’utilisation est mesurée et régie par les budgets applicables. Si un budget strict ne laisse aucun Code SecurityAI credits disponible, AI Scan ne peut pas produire de résultats. L’analyse reprend lorsqu’un administrateur augmente le budget de limitation ou qu’un nouveau cycle de facturation commence.

L’analyse IA pour les dépôts a certaines limites pour éviter qu’elle ne consomme des quantités très élevées de budget. Les étapes de détection sont limitées à 30 minutes et 150 000 AI credits.

Pour plus d’informations, consultez « GitHub Advanced Security facturation des licences ».

Comment fonctionne AI Scan

Les utilisateurs disposant d’un accès en écriture à un référentiel peuvent déclencher manuellement une analyse de la branche par défaut du référentiel. L’agent IA effectue des recherches dans le référentiel pour identifier les fichiers et les fonctions à examiner. Il sélectionne le code pour une analyse plus poussée plutôt que de lire tous les fichiers en intégralité. L’agent s’exécute dans un budget de temps. Lorsque ce budget est épuisé, il cesse de rechercher, puis affiche ses résultats.

AI Scan s’exécute indépendamment de CodeQL. Si le référentiel a CodeQL déjà des alertes, AI Scan utilise ces alertes pour supprimer les résultats correspondants.

Comment les résultats de l’analyse IA apparaissent dans le backlog d’analyse du code

Une fois l’analyse terminée, ses résultats apparaissent sous forme d’alertes dans la liste des alertes du code scanning référentiel, sous l’onglet Sécurité et qualité , en même temps que les alertes de CodeQL. Vous pouvez filtrer la liste à l’aide de l’outil AI Scan pour vous concentrer sur ces résultats.

Utilisez les filtres de gravité d’alerte existants pour hiérarchiser les constatations pour l’évaluation. Vous pouvez affecter des alertes, les lier à des problèmes, les inclure dans les campagnes de sécurité ou utiliser agentic autofix pour vous aider à les corriger. Consultez « Évaluation des alertes d’analyse du code pour votre référentiel ».

Lors de préversion publique, la fusion d’un correctif potentiel ne déclenche pas automatiquement une autre analyse IA. Vous devez déclencher manuellement une nouvelle analyse pour vérifier si des alertes ont été résolues.

L’alerte ne se ferme automatiquement que si le correctif appliqué modifie la ligne de code exacte qui a déclenché l’alerte. Sinon, vous devez fermer manuellement l’alerte.

Limitations

• Les scans analysent uniquement la branche par défaut.
• Les analyses sont déclenchées manuellement. Les analyses planifiées et les analyses automatiques sur push ne sont pas prises en charge.
• L’agent sélectionne le code à examiner dans le temps imparti. Une analyse antivirus n’analyse pas de manière exhaustive chaque fichier et ne garantit pas qu’elle détecte chaque vulnérabilité.
• La mise en correspondance avec les alertes existantes CodeQL se fait au mieux, donc des alertes en double peuvent se produire.
• Les résultats générés par l’IA peuvent être incorrects. Passez en revue chaque résultat avant de décider comment l’aborder.

Pour obtenir des conseils sur l’utilisation responsable des fonctionnalités de sécurité basées sur l’IA, consultez Carte de l’application : fonctionnalités d’IA GitHub pour la sécurité et la qualité.

Langues prises en charge

AI Scan for repository prend en charge toutes les langues, y compris les langues déjà prises en charge par CodeQL. Utilisez-le parallèlement CodeQL pour rechercher des vulnérabilités supplémentaires ou pour étendre la couverture de l’analyse aux langues qui CodeQL ne prennent pas en charge.

Activation de l’analyse IA pour les dépôts

Avant d’activer l’analyse IA pour les dépôts, confirmez l’éligibilité des dépôts, passez en revue les éléments inclus du compte de facturation AI credits et configurez les budgets pour l’utilisation à l’usage.

• Entreprise : les propriétaires d’entreprise peuvent autoriser ou empêcher les organisations d’activer l’analyse IA pour les dépôts. Cette stratégie contrôle à la fois l’analyse IA sur les pull requests et l’analyse IA pour le backlog d’un dépôt. La politique est définie sur « Non autorisée » par défaut. L’autorisation d’AI Scan ne l’active pas automatiquement. Consultez « Application de stratégies de sécurité et d’analyse du code pour votre entreprise ».
• Organisation : les propriétaires de l’organisation et les gestionnaires de sécurité peuvent activer l’analyse IA pour les référentiels pour les référentiels éligibles. Les dépôts héritent du paramètre de l’organisation. Consultez « Configuration des paramètres de sécurité globaux pour votre organisation ».
• Dépôt appartenant à l’organisation : les personnes disposant d’un accès administrateur au dépôt peuvent se désinscrire lorsque l’organisation a activé AI Scan. Ils ne peuvent pas s’inscrire lorsque le paramètre de l’organisation est désactivé. Pour désactiver la fonctionnalité, accédez à la page « Paramètres » du dépôt, sous «Advanced Security », puis sous «Code Security », désactivez l’analyse IA pour les dépôts.

Étapes suivantes

Pour exécuter une analyse et gérer les alertes résultantes, consultez Affichage et gestion des alertes d’analyse IA sur la branche par défaut de votre dépôt.