Verificação de IA para o backlog de um repositório

A Verificação de IA para repositórios usa um mecanismo proprietário que aproveita vários modelos, quando disponíveis, para encontrar vulnerabilidades de segurança no branch padrão do repositório. Ele dá suporte a todos os idiomas, estendendo a cobertura além dos idiomas com suporte pelo CodeQL e encontrando vulnerabilidades adicionais em idiomas que o CodeQL já analisa. Você executa verificações sob demanda, independentemente de CodeQL.

A Verificação de IA para repositórios adiciona descobertas à sua code scanning lista de pendências juntamente com CodeQL alertas. Você pode usar fluxos de trabalho existentes para atribuir alertas, aplicar etiquetas agentic autofix, incluir alertas em campanhas de segurança e vinculá-los a problemas.

Availability

A disponibilidade depende de quem é o proprietário do repositório e sua visibilidade.

Proprietário do repositório	Visibilidade	Disponibilidade e requisitos
Organização	Public	Disponível sem uma licença de committer ativo
Organização	Privado ou interno	Disponível com GitHub Code Security ou GitHub Advanced Security
Conta pessoal	Public	Available
Conta pessoal	Privada	Não disponível

Você não precisa de uma GitHub Copilot licença.

Billing

Você executa a Verificação de IA para repositórios sob demanda e cada verificação consome Code SecurityAI credits. Esse uso é separado do licenciamento de active-committer.

O uso é cobrado da conta responsável pelo faturamento da organização.

Para repositórios públicos de propriedade de uma conta pessoal, o uso é cobrado nessa conta pessoal, a menos que o proprietário do repositório tenha uma GitHub Copilot licença fornecida por uma organização ou empresa. Nesse caso, o uso é cobrado da organização ou empresa que fornece a licença.

Se a conta de cobrança receber AI credits incluídos por meio de um benefício GitHub Copilot, AI Scan usará esses créditos primeiro. Depois que os créditos incluídos forem esgotados ou se a conta não tiver créditos incluídos, o uso será cobrado por consumo e regido pelos orçamentos aplicáveis. Se um orçamento rígido não deixa Code SecurityAI credits disponível, o AI Scan não poderá produzir resultados. A verificação é retomada quando um administrador aumenta o orçamento limitador ou um novo ciclo de cobrança começa.

A verificação de IA para repositórios tem alguns limites para impedir que ele consuma quantidades muito altas de cota. As etapas de detecção são limitadas a 30 minutos e 150.000 AI credits.

Para obter mais informações, consulte GitHub Advanced Security cobrança de licença.

Como o AI Scan funciona

Os usuários com acesso de gravação a um repositório disparam manualmente uma verificação do branch padrão do repositório. O agente de IA pesquisa no repositório para identificar arquivos e funções a serem examinadas. Ele seleciona o código para análise adicional em vez de ler todos os arquivos na íntegra. O agente é executado dentro de um limite de tempo. Quando esse orçamento está esgotado, ele para de pesquisar e relata suas descobertas.

A Verificação de IA é executada independentemente de CodeQL. Se o repositório já tiver CodeQL alertas, o AI Scan usará esses alertas para suprimir as conclusões correspondentes.

Como as descobertas do AI Scan aparecem no backlog da verificação de código

Quando uma verificação é concluída, suas descobertas aparecem como alertas na lista de alertas do code scanning repositório, na guia Segurança e qualidade , juntamente com alertas de CodeQL. Você pode filtrar a lista pela ferramenta AI Scan para se concentrar nessas descobertas.

Use os filtros de severidade de alerta existentes para priorizar as constatações para avaliação. Você pode atribuir alertas, vinculá-los a problemas, incluí-los em campanhas de segurança ou usar agentic autofix para ajudar a corrigi-los. Consulte Avaliar alertas de varredura de código para seu repositório.

Durante prévia pública, a mesclagem de uma correção em potencial não dispara automaticamente outra Verificação de IA. Você deve disparar manualmente uma nova verificação para verificar se há alertas resolvidos.

O alerta só será fechado automaticamente se a correção aplicada alterar a linha exata de código que disparou o alerta. Caso contrário, você deve fechar manualmente o alerta.

Limitations

• As verificações analisam somente o branch padrão.
• As verificações são disparadas manualmente. Não há suporte para verificações agendadas e verificações automáticas ao fazer push.
• O agente seleciona qual código examinar dentro de um orçamento de tempo. Uma verificação não analisa exaustivamente cada arquivo ou garante encontrar todas as vulnerabilidades.
• A correspondência com alertas existentes CodeQL é uma tentativa sem garantia, portanto, alertas duplicados podem ocorrer.
• As descobertas geradas por IA podem ser imprecisas. Examine cada descoberta antes de decidir como resolvê-la.

Para obter diretrizes sobre como usar recursos de segurança alimentados por IA de forma responsável, consulte Cartão do aplicativo: recursos de IA do GitHub para segurança e qualidade.

Idiomas com suporte

A Verificação de IA para repositórios dá suporte a todos os idiomas, incluindo idiomas já compatíveis com CodeQL. Use-o em conjunto com CodeQL para encontrar vulnerabilidades adicionais ou para estender a cobertura de verificação para idiomas que CodeQL não suporta.

Habilitar o AI Scan para repositórios

Antes de habilitar o AI Scan para repositórios, confirme a elegibilidade do repositório, examine o AI credits incluído da conta de cobrança e configure os orçamentos para uso cobrado por consumo.

• Enterprise: os proprietários empresariais podem permitir ou impedir que as organizações habilitem o AI Scan para repositórios. Essa política controla o AI Scan em solicitações de pull e o AI Scan para a lista de pendências de um repositório. A política é definida como "Não permitida" por padrão. Permitir a Verificação de IA não a habilita automaticamente. Consulte Como impor políticas para segurança e análise de código na empresa.
• Organização: os proprietários da organização e os gerentes de segurança podem habilitar a Verificação de IA para repositórios qualificados. Repositórios herdam a configuração da organização. Consulte Configurações de segurança globais para sua organização.
• Repositório de propriedade da organização: pessoas com acesso de administrador ao repositório podem optar por não participar quando a organização tiver habilitado a Verificação de IA. Eles não podem aderir quando a configuração da organização está desabilitada. Para desabilitar o recurso, vá para a página "Configurações" do repositório, em "Advanced Security", depois em "Code Security", desative Verificação de IA para repositórios.

Próximas Etapas 

Para executar uma verificação e gerenciar os alertas resultantes, consulte Exibindo e gerenciando alertas de verificação de IA no branch padrão do repositório.