Что именно проверяет AI Scan
Вы попросили ИИ добавить загрузку файлов. Код готов, но в нём могла появиться возможность прочитать чужие документы или выполнить нежелательное действие. Это уязвимость: ошибка устройства программы, которой можно воспользоваться во вред.
AI Scan — проверка с искусственным интеллектом; AI расшифровывается как Artificial Intelligence. Она смотрит на изменения, предлагаемые в pull request, запросе на добавление правок в основную версию проекта. Для краткости такой запрос называют PR. Само слияние — момент, когда эти правки объединяют с выбранной веткой проекта.
15 октября GitHub объявил общую доступность инструмента. Он дополняет CodeQL, другой анализатор кода GitHub, для ряда ещё не покрытых им языков и технологий. Среди примеров — PHP, командные сценарии Shell/Bash, конфигурации Terraform и Dockerfile, инструкции подготовки контейнера приложения.
Почему зелёный результат не снимает вопрос
Когда включены code scanning, проверка кода, и соответствующая настройка AI Scan, инструмент может запускаться на PR автоматически. Замечания появляются рядом с результатами CodeQL и отличаются отметкой AI. В них может быть объяснение риска и предложенное исправление.
Ключевое ограничение из объявления: замечания рекомендательные. Они не делают проверку code scanning неуспешной и не могут блокировать слияние через требования ruleset — набора правил репозитория. Поэтому опасно судить только по общей зелёной отметке.
Для вайбкодера здесь есть понятное действие: открыть сами замечания, спросить помощника, к какому сценарию относится риск, и проверить предложенную правку. Автоматический анализ помогает начать разговор, но не заменяет поиск причины по фактам.
Где инструмент не запустится
AI Scan не работает на PR из форков, отдельных копий проекта, созданных средствами GitHub. Исключены и PR от Dependabot, встроенного помощника по обновлению зависимостей. Отсутствие замечаний в таком случае не означает, что код прошёл эту проверку: её просто не было.
Документация GitHub помогает отличить настройки запуска от самого результата. Если хотите опираться на инструмент, сначала выясните, запускался ли он для нужного набора изменений и что именно рассмотрел.
Это особенно важно с правками, которые ИИ делает почти без участия человека. Чем проще нажать «объединить», тем полезнее знать, какие проверки действительно сработали. Как эти шаги связаны с установкой новой версии, разбираем в уроке про CI/CD и деплой.
Кому доступен и что с оплатой
GitHub указывает доступность для публичных репозиториев личных аккаунтов и организаций. Для закрытых и внутренних репозиториев организаций требуется GitHub Code Security либо GitHub Advanced Security. Закрытые репозитории личного аккаунта не поддерживаются. Для личного пространства управляемого аккаунта пользователя функция также недоступна. Отдельная лицензия GitHub Copilot не нужна.
При этом запуск расходует Code Security AI Credits, единицы учёта использования функций ИИ в продукте безопасности GitHub. Доступность для репозитория не означает бесплатную проверку. Перед включением стоит посмотреть условия своего аккаунта и настройки бюджета.
Мы разобрали объявление и действующие ограничения по первичным источникам. На живом репозитории портала AI Scan не включали и списаний за него не создавали. Первое полезное действие — проверить, как ваша команда сейчас читает замечания к коду, и только затем добавлять ещё один анализатор.
