2026 年 10 月 15 日前后，GitHub 把两件事推到了正式可用（GA）：**PR 上的 AI Scan**，和**代码扫描告警的 agentic autofix**。加上同期的开源许可证合规 GA，这一周的信号很明确——安全与合规反馈正在被搬到开发者日常工作的位置上去。 ## 一、AI Scan：PR 里多了一个 reviewer AI Scan 在 PR 里给出 AI 推导的漏洞发现，与 CodeQL 的结果并列展示。对评审者来说，传统静态分析和 AI 推断的提示现在出现在同一个地方。 它的定位是**建议性的**，并且有明确的限制：fork 和 Dependabot 驱动的 PR 不扫。也就是说，它适合当第二 reviewer，不适合直接当合并门禁——除非你清楚这些边界并且接受。 成本也是真实的：它计入 Code Security 的 AI Credits。想大规模铺开之前，先估计一下调用量。 ## 二、agentic autofix：不只是给一段建议 这个变化更大。启用后，Copilot 可以： 1. 跨仓库提出修复方案； 2. **重跑 CodeQL 验证这个补丁**； 3. 开一个 draft PR 交给人审。 官方说明里提到，单个 draft PR 最多可处理 25 个告警。「自己改完自己扫一遍再交给人」这个闭环，比「给一段代码建议」前进了一大步。 它通过 GitHub Advanced Security 策略控制启用，成本是 AI Credits + Actions 分钟的组合。合理的做法是**在一部分告警类型和一部分仓库上试点**，再考虑放量。 ## 三、同一周：许可证合规也 GA 了 面向启用了 Code Security 的 GitHub Enterprise Cloud 组织，开源许可证合规正式可用：企业级的许可证策略，通过 rulesets 和 PR 检查强制执行，配套审计日志事件和 REST API。 这一步的意义在于把「政策」写成代码——法务和合规的决定可以在 PR 里被拦住，而不是事后追。 ## 四、该调整什么 如果你的团队准备用这些能力，有三件事值得先想清楚： **第一，AI 发现能否作为门禁。** 在了解它对 fork / Dependabot 的行为之前，把它当第二意见更安全。已有的 CodeQL 和既有扫描器不要撤。 **第二，成本模型变了。** 过去安全工具是席位或仓库数计价，现在掺进了按量计费的 AI Credits。采购逻辑从 SaaS 许可变成了「云账单」——需要用量预测，而不只是数人頭。 **第三，评审负担的位置变了。** 当修复由智能体提出、并且自带验证结果，人的注意力应该集中在**批准检查点**，而不是逐行看 diff。这也对审计提出新要求：谁批准了什么、依据是什么，要能追溯。 ## 小结 这一轮变化的主题不是「AI 更能找 bug」，而是**把发现与修复的闭环往更早、更靠近代码的位置推**。对工程团队来说，真正的工作是重新设计门禁与审计：哪些信号可以阻断合并，哪些只能提示，以及每一次自动修复留下了什么可追溯的记录。 --- **说明**：本文为公开资料的整理与评述，信息来源包括 GitHub Changelog（AI Scan for pull requests generally available、Agentic autofix for code scanning alerts general availability、Open source license compliance generally available）及相关行业周报。具体能力与可用性以官方文档为准。本文由 AI 辅助整理，不构成安全建议。