GitHub מרחיבה את AI Scan מסריקת שינויים ב-Pull Request לסריקה יזומה של מאגר שלם. היכולת, שהושקה ב-Public Preview ב-28 באוקטובר 2026, מיועדת לזהות חולשות גם בשפות ובמסגרות שאינן נתמכות ב-CodeQL — וכן בעיות שניתוח מבוסס חוקים עלול להחמיץ.
מה בדיוק נסרק
לאחר הפעלת המדיניות, משתמש בעל הרשאת כתיבה ל-Code Scanning יכול להתחיל סריקה מדף האבטחה. כל סריקה בוחנת את ה-Commit האחרון בענף ברירת המחדל. סוכן הסריקה חוקר את מבנה המאגר ומתמקד באזורים שבהם הסבירות לחולשות גבוהה יותר.
הסריקה פועלת במסגרת זמן קבועה כדי להגביל את העלות. כאשר CodeQL ו-AI Scan פעילים באותו מאגר, המערכת מנסה שלא לדווח מחדש על ממצאים שכבר זוהו ב-CodeQL.
איך הממצאים משתלבים בתהליך הקיים
התראות AI Scan נכנסות לאותה רשימת Code Scanning שבה מופיעות התראות CodeQL. ניתן להקצות אותן לבעלים, לקשר ל-Issues ול-Pull Requests, להוסיף לקמפיין אבטחה או לטפל בהן באמצעות Agentic Autofix.
יש פרט תפעולי חשוב: מיזוג תיקון אינו סוגר את ההתראה אוטומטית. לאחר התיקון צריך להריץ סריקה חדשה; אם הבעיה כבר אינה מזוהה, ההתראה יכולה להיסגר.
מה נדרש להפעלה
- ב-Enterprise: יש להפעיל תחילה מדיניות AI Scan, ולאחר מכן מנהלי הארגון או מנהלי האבטחה יכולים לאפשר את הסריקה למאגרים.
- במאגרים ארגוניים: מאגרים ציבוריים נתמכים, ומאגרים פרטיים או פנימיים דורשים GitHub Code Security או GitHub Advanced Security.
- בחשבון אישי: מאגרים ציבוריים נתמכים; מאגרים פרטיים בחשבון אישי אינם נתמכים כרגע.
- Copilot: אין צורך ברישיון GitHub Copilot כדי להפעיל AI Scan למאגרים.
מה לבדוק לפני שמפעילים בארגון
- להתחיל בכמה מאגרים בעלי חשיפה גבוהה ולמדוד איכות ממצאים.
- להגדיר בעלים והת SLA לכל התראה חדשה כדי שה-Backlog לא יגדל ללא טיפול.
- להשאיר את CodeQL פעיל; AI Scan משלים אותו ואינו מחליף ניתוח דטרמיניסטי.
- להריץ Rescan לאחר כל תיקון, ולא להניח שמיזוג הקוד סגר את ההתראה.
- להגדיר תקציב ל-Code Security AI credits ולעקוב אחר צריכה ב-AI usage.
מודל החיוב
הסריקות צורכות Code Security AI credits. ניתן להגדיר תקציב ברמת SKU, ואם התקציב נוצל GitHub מודיעה על כך לפני תחילת הסריקה. במאגרים ציבוריים של חשבון אישי החיוב מיוחס לבעל החשבון, אלא אם רישיון Copilot סופק דרך ארגון או Enterprise — ואז החיוב עשוי להיות משויך אליו.
השורה התחתונה: AI Scan מכניסה שכבת חיפוש אדפטיבית למאגר כולו ומרחיבה את הכיסוי מעבר לחוקי CodeQL. הערך יהיה תלוי ביכולת של הצוות לאמת ממצאים, לשלוט בתקציב ולהריץ סריקה חוזרת לאחר תיקון.
מקור: GitHub Changelog, 28.10.2026.
צילום: cottonbro studio / Pexels. דף המקור והרישיון.
