Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

So aktivierst du den GitHub-KI-Scan für dein selbst gehostetes App-Repository

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

GitHub AI Scan official announcement cover artwork

Um GitHub AI Scan zu aktivieren, prüfen Sie zunächst, wem das Repository gehört und ob es geeignet ist. Bestätigen Sie anschließend Code scanning, die effektive AI-Scan-Einstellung und das Abrechnungsbudget. Ein organisationsinternes Repository übernimmt die Einstellungen der Organisation; ein Repository-Administrator kann eine deaktivierte Organisationseinstellung nicht einfach durch Umschalten einer lokalen Option überschreiben.

Beginnen Sie mit einem Projekt, das Sie betreuen, und einem gewöhnlichen Pull Request innerhalb desselben Repositories, der unterstützte Änderungen enthält. Fügen Sie keinen ausnutzbaren Fehler ein, um zu sehen, ob der Scanner ihn erkennt. Bestätigen Sie die effektive Konfiguration der Funktion und prüfen Sie alle Ergebnisse, während Sie Ihren üblichen menschlichen Überprüfungsprozess beibehalten.

Ist mein Repository für AI Scan geeignet?

GitHub dokumentiert die Unterstützung öffentlicher Repositories, wobei für private oder interne Organisations-Repositories zusätzliche Lizenzanforderungen gelten. Persönliche private Repositories sind laut aktueller Dokumentation nicht geeignet. Für persönliche Namespaces verwalteter Benutzer gelten zusätzliche Einschränkungen. Prüfen Sie die aktuelle Matrix zu Eigentümerschaft und Sichtbarkeit, bevor Sie Probleme mit der Benutzeroberfläche untersuchen.

Die AI-Scan-Übersicht erläutert den Geltungsbereich. Eine fehlende Steuerung kann auf Berechtigungs- oder Richtlinienbeschränkungen zurückzuführen sein und muss nicht bedeuten, dass das Repository fehlerhaft ist.

Welche Einstellungen und Richtlinien müssen aktiviert sein?

Ebene	Was zu bestätigen ist
Unternehmen, falls zutreffend	Richtlinie erlaubt Organisationen, AI Scan zu aktivieren
Organisation	AI Scan für geeignete Repositories aktiviert
Repository	Code scanning aktiviert und effektiver AI-Scan-Status zugelassen
Öffentliches persönliches Repository	Der Admin aktiviert die AI-Scan-Steuerung unter Code scanning
Abrechnung	Inklusive Credits und Budgets für nutzungsabhängige Abrechnung ermöglichen Scans

Befolgen Sie die offiziellen Anweisungen für Ihren Kontotyp. Ein Kontingent für Unternehmen allein aktiviert die Funktion nicht, und die Aktivierung auf Organisationsebene kann sich sofort auf geeignete Repositories auswirken.

Wie sollte ich die Nutzung konfigurieren, bevor ich sie aktiviere?

Ermitteln Sie, welches Konto für die Nutzung verantwortlich ist, und prüfen Sie die verfügbaren Code Security AI Credits und Budgetlimits. Legen Sie fest, wer die Ausgaben überwacht und wer das Budget anpassen kann. Tun Sie dies vor einer umfassenden Einführung in der Organisation, damit qualifizierende Pull Requests nicht zu unerklärlichen Nutzungskosten führen.

Ein Budget, das Scans verhindert, ist ebenfalls eine operative Bedingung, die dokumentiert werden sollte. Fehlende Befunde sind kein Beweis dafür, dass eine Änderung geprüft wurde.

Wie prüfe ich, ob ein Pull Request im Geltungsbereich liegt?

Verwenden Sie einen normalen PR aus demselben Repository mit relevanten Änderungen in unterstützten Sprachen. Pull Requests von Forks und Dependabot liegen außerhalb des dokumentierten Umfangs. Prüfen Sie die wirksame Funktionseinstellung und sehen Sie sich die Ansichten „Conversation“ und „Files changed“ des PRs auf KI-gekennzeichnete Befunde durch.

Bei einem zulässigen Scan kann es sein, dass keine Befunde vorliegen. Das beweist weder, dass die Engine versagt hat, noch, dass der Code sicher ist. Der Vergleich mit CodeQL erklärt, warum sich die Signale unterscheiden.

Was sollte nach einem hilfreichen Befund geschehen?

Prüfen Sie den Pfad und die vorgeschlagene Korrektur, nehmen Sie bei Bedarf eine gezielte Änderung vor und führen Sie die relevante Verhaltensprüfung durch. Behalten Sie erforderliche Überprüfungen und bestehende verbindliche Kontrollen bei, da AI-Scan-Befunde Merges nicht blockieren. Für die Bereitstellung ist weiterhin der übliche unterstützte Aktualisierungs- und Wiederherstellungsprozess erforderlich.

Für PHP-Apps auf einem NAS helfen die Anleitung zur Docker-Aktualisierung und der Workflow zur Überprüfung von Runtime-Patches sicherzustellen, dass eine genehmigte Quellcodeänderung tatsächlich den von Ihnen betriebenen Dienst erreicht.

Häufig gestellte Fragen

Muss ich ein Modell auswählen, um AI Scan zu aktivieren?

Nein. Für den dokumentierten Aktivierungsprozess von GitHub muss kein Inferenzmodell ausgewählt werden.

Kann ein Repository-Admin AI Scan aktivieren, wenn die Organisation es deaktiviert hat?

Nicht für ein Repository, das einer Organisation gehört und dem dokumentierten Richtlinienmodell unterliegt. Die wirksame Organisationseinstellung muss AI Scan zulassen.

Begründet eine Copilot-Lizenz allein die Berechtigung des Repositorys?

Nein. Prüfen Sie Zuständigkeiten, Sichtbarkeit, Code-Sicherheitsanforderungen und Richtlinien. GitHub gibt an, dass für AI Scan selbst keine Copilot-Lizenz erforderlich ist.

Sollte ein unauffälliges PR-Ergebnis die Überprüfung ersetzen?

Nein. Befunde sind Hinweise und bieten keine vollständigen Sicherheitsnachweise. Behalten Sie angemessene menschliche Prüfungen und bestehende verbindliche Kontrollen bei.