GitHub AI Scan frente a CodeQL: comparación de cobertura, hallazgos y controles de combinación

Usa GitHub AI Scan para complementar CodeQL cuando la cobertura documentada de lenguajes y marcos de trabajo te ayude a revisar las solicitudes de incorporación de cambios. Mantén CodeQL para sus análisis compatibles y sus flujos de trabajo de alertas. No son controles intercambiables: los hallazgos de AI Scan son señales orientativas que solo aparecen en las solicitudes de incorporación de cambios y no pueden bloquear las fusiones mediante conjuntos de reglas.

Para un repositorio de una aplicación autoalojada, la combinación adecuada depende de tus lenguajes y del proceso de implementación. Ningún analizador sustituye la actualización de un entorno de ejecución vulnerable ni la comprobación de la aplicación activa. Revisa el código fuente, implementa cambios compatibles y verifica el servicio como pasos separados.

¿En qué difieren la cobertura y los resultados?

Consulta la compatibilidad actual con los lenguajes en lugar de depender de una división permanente. GitHub puede ampliar o cambiar la cobertura de cualquiera de los productos.

¿Cuál es más útil para PHP, Shell y los Dockerfiles?

GitHub incluye estos lenguajes entre los ejemplos compatibles con AI Scan. Eso hace que la herramienta sea relevante para repositorios que combinan una aplicación, scripts de mantenimiento y configuración de contenedores. Comprueba los archivos modificados y si la solicitud de incorporación de cambios cumple los requisitos; siguen aplicándose las exclusiones de bifurcaciones y Dependabot.

La explicación de AI Scan aborda sus límites operativos. Un hallazgo en un Dockerfile tampoco implica que se haya evaluado la vulnerabilidad de todas las capas de la imagen implementada.

¿Puedo usar cualquiera de las dos herramientas como control para fusionar?

Trata AI Scan como información para la revisión, ya que sus hallazgos son orientativos y no pueden convertirse en requisitos para fusionar. Para CodeQL y otras comprobaciones, consulta las opciones compatibles de protección del análisis de código y de conjuntos de reglas para tu repositorio. No des por sentado que una política de comprobaciones obligatorias cubre AI Scan solo porque ambos resultados aparecen en la misma solicitud de incorporación de cambios.

Documenta qué controles realmente impiden las fusiones, cuáles requieren el criterio de un revisor y quién puede omitirlos. Que un panel muestre ambas herramientas no demuestra que apliquen las mismas medidas.

¿Es necesario sustituir CodeQL para añadir AI Scan?

No. El propósito documentado es ofrecer cobertura complementaria. Empieza por los lenguajes y las carencias de tu repositorio, verifica si la función está disponible y cómo se factura, y luego habilita esta señal adicional donde resulte útil. Evita eliminar un análisis que funciona solo porque hay disponible una nueva función de IA.

Usa la guía de configuración de AI Scan para comprobar las políticas efectivas. Revisa un cambio normal incluido en el ámbito antes de ampliar la habilitación a varios proyectos.

¿Cómo conecto el análisis con una implementación en un servidor doméstico?

Mantén la trazabilidad de la revisión del código fuente revisada, la imagen compilada y el servicio implementado. El resultado del análisis corresponde al código analizado; el servidor en ejecución podría usar otra imagen o un paquete desactualizado. Registra lo que se implementó realmente y comprueba un recorrido crítico de la aplicación.

La guía de avisos a implementación cubre esa brecha. Para aplicaciones de terceros, la guía para identificar la versión de PHP en tiempo de ejecución ayuda a distinguir los cambios en tu repositorio de una actualización del entorno de ejecución del proveedor.

Preguntas frecuentes

¿AI Scan debería reemplazar a CodeQL?

No hay un reemplazo automático. Su función documentada es ofrecer cobertura complementaria para determinados lenguajes y marcos de trabajo.

¿Los hallazgos de AI Scan son alertas normales de acumulación de trabajo pendiente?

No. GitHub los documenta como hallazgos en solicitudes de cambios, no como alertas de acumulación de trabajo pendientes de todo el repositorio en la vista de seguridad.

¿Puedo exigir que todos los hallazgos de AI Scan superen las reglas de un conjunto de reglas?

No. Los hallazgos de AI Scan son orientativos y no imponen requisitos para la fusión de cambios.

¿Superar el análisis de código demuestra que la aplicación NAS implementada tiene los parches?

No. Verifica por separado la revisión compilada y en ejecución, la corrección aplicable en tiempo de ejecución y el comportamiento específico del servicio.

Lecturas relacionadas

• GitHub AI Scan explicado: comprobaciones de seguridad para proyectos PHP, Shell y Docker
• Cómo habilitar GitHub AI Scan en el repositorio de tu aplicación autoalojada

Fuentes

• Anuncio oficial y documentación del modelo — github.blog
• Documentación técnica y referencia — docs.github.com
• Documentación técnica y referencia — docs.github.com

Portada: imagen del anuncio oficial de GitHub AI Scan. Fuente de la imagen.