Cómo habilitar el análisis de IA de GitHub para el repositorio de tu aplicación autoalojada

Para habilitar GitHub AI Scan, primero comprueba quién es el propietario del repositorio y si cumple los requisitos. Después, confirma que el análisis de código esté habilitado, revisa el ajuste efectivo de AI Scan y comprueba el presupuesto de facturación. Un repositorio propiedad de una organización hereda los controles de esta; el administrador del repositorio no puede anular un ajuste de organización deshabilitado con solo activar una opción local.

Empieza con un proyecto que mantengas y una solicitud de incorporación de cambios normal en el mismo repositorio que contenga cambios compatibles. No introduzcas un error explotable para comprobar si el analizador lo detecta. Confirma la configuración efectiva de la función y revisa los hallazgos que produzca, sin dejar de aplicar tu proceso habitual de revisión humana.

¿Es apto mi repositorio para AI Scan?

GitHub documenta la compatibilidad con repositorios públicos, con requisitos de licencia adicionales para los repositorios privados o internos de organizaciones. Según la documentación actual, los repositorios privados personales no son aptos. Los espacios de nombres personales de usuarios administrados tienen restricciones adicionales. Consulta la matriz actual de propiedad y visibilidad antes de solucionar problemas de la interfaz.

El resumen de AI Scan explica el alcance. Es posible que la falta de un control se deba a los requisitos de elegibilidad o a una política, y no a un problema del repositorio.

¿Qué ajustes y políticas deben estar habilitados?

Consulta las instrucciones oficiales para tu tipo de cuenta. Una asignación empresarial por sí sola no activa la función, y habilitarla en una organización puede afectar de inmediato a los repositorios aptos.

¿Cómo debo configurar el uso antes de habilitarlo?

Identifica la cuenta responsable del uso y consulta los créditos de Code Security AI disponibles y los límites del presupuesto. Decide quién supervisará el gasto y quién podrá ajustar el presupuesto. Hazlo antes de implementar la función en toda la organización, para que las solicitudes de incorporación de cambios que cumplan los requisitos no generen un uso inexplicable.

Un presupuesto que impida el análisis también es una condición operativa que se debe documentar. No interpretes la ausencia de hallazgos como prueba de que se evaluó un cambio.

¿Cómo compruebo si una solicitud de incorporación de cambios cumple los requisitos?

Usa una PR normal del mismo repositorio con cambios pertinentes en lenguajes compatibles. Las solicitudes de extracción de bifurcaciones y Dependabot quedan fuera del alcance documentado. Confirma la configuración efectiva de la función y revisa las vistas Conversation y Files changed de la PR para ver si hay hallazgos etiquetados como AI.

No encontrar nada es un posible resultado de un análisis apto. No demuestra que el motor haya fallado ni que el código sea seguro. La comparación con CodeQL explica por qué las señales difieren.

¿Qué debería hacerse después de un hallazgo útil?

Revisa la ruta y la corrección propuesta, aplica una corrección específica si procede y ejecuta la comprobación de comportamiento pertinente. Mantén las revisiones obligatorias y los controles existentes que se puedan hacer cumplir, ya que los hallazgos de AI Scan no bloquean las fusiones. La implementación aún requiere el proceso habitual de actualización y recuperación admitido.

Para aplicaciones PHP alojadas en un NAS, usa la guía de actualización de Docker y el flujo de trabajo de verificación de parches en tiempo de ejecución para asegurarte de que un cambio aprobado en el código fuente llegue realmente al servicio que operas.

Preguntas frecuentes

¿Tengo que elegir un modelo para habilitar AI Scan?

No. El proceso de habilitación documentado por GitHub no requiere seleccionar un modelo de inferencia.

¿Puede un administrador del repositorio habilitarlo si la organización lo deshabilita?

No para un repositorio propiedad de una organización según el modelo de políticas documentado. La configuración efectiva de la organización debe permitirlo.

¿Tener una licencia de Copilot basta para que un repositorio cumpla los requisitos?

No. Comprueba la propiedad, la visibilidad, los requisitos de seguridad del código y las políticas. GitHub indica que no se necesita una licencia de Copilot para usar AI Scan.

¿Un resultado limpio de la PR debería sustituir la revisión?

No. Los hallazgos son indicativos y constituyen pruebas de seguridad incompletas; mantén una revisión humana adecuada y los controles existentes que se puedan hacer cumplir.

Lecturas relacionadas

• GitHub AI Scan explicado: controles de seguridad para proyectos PHP, Shell y Docker
• GitHub AI Scan frente a CodeQL: comparación de cobertura, hallazgos y controles de fusión

Fuentes

• Anuncio oficial y documentación del modelo — github.blog
• Documentación técnica y referencia — docs.github.com

Portada: imagen oficial del anuncio de GitHub AI Scan. Fuente de la imagen.