Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

Comment activer l’analyse IA de GitHub pour le dépôt de votre application auto-hébergée

Eva Wong

IceWhale author

Eva Wong est la rédactrice technique et bricoleuse résidente chez ZimaSpace. Geek depuis toujours, passionnée par les homelabs et les logiciels open source, elle se spécialise dans la traduction de concepts techniques complexes en guides accessibles et pratiques. Eva croit que l’auto-hébergement doit être amusant, pas intimidant. À travers ses tutoriels, elle donne à la communauté les moyens de démystifier les configurations matérielles, depuis la construction de leur premier NAS jusqu’à la maîtrise des conteneurs Docker.

GitHub AI Scan official announcement cover artwork

Pour activer GitHub AI Scan, vérifiez d’abord qui possède le dépôt et s’il est admissible. Confirmez ensuite que l’analyse du code est activée, que le paramètre AI Scan est effectivement actif et que le budget de facturation est défini. Un dépôt appartenant à une organisation hérite des contrôles de cette organisation ; l’administrateur du dépôt ne peut pas contourner un paramètre désactivé au niveau de l’organisation en activant simplement une option locale.

Commencez par un projet que vous gérez et une pull request classique dans le même dépôt, contenant des modifications prises en charge. N’introduisez pas volontairement de faille exploitable pour vérifier si le scanner la détecte. Confirmez la configuration effective de la fonctionnalité et examinez les résultats éventuels, tout en conservant votre processus habituel de revue humaine.

Mon dépôt est-il admissible à AI Scan ?

GitHub indique que la fonctionnalité est prise en charge pour les dépôts publics, avec des exigences de licence supplémentaires pour les dépôts privés ou internes appartenant à une organisation. Selon la documentation actuelle, les dépôts privés personnels ne sont pas admissibles. Les espaces de noms personnels des utilisateurs gérés sont soumis à des restrictions supplémentaires. Avant de dépanner l’interface, vérifiez la matrice actuelle des propriétaires et des niveaux de visibilité.

La présentation d’AI Scan explique le périmètre. L’absence d’un contrôle peut être due aux critères d’admissibilité ou à une politique, et non à un problème du dépôt.

Quels paramètres et quelles politiques doivent être activés ?

Niveau	Éléments à vérifier
Enterprise, le cas échéant	La politique autorise les organisations à activer AI Scan
Organisation	AI Scan activé pour les dépôts admissibles
Dépôt	Analyse du code activée et statut AI Scan effectif autorisé
Dépôt public personnel	L’administrateur active le contrôle AI Scan dans l’analyse du code
Facturation	Les crédits inclus et les budgets d’utilisation facturée à l’usage autorisent l’analyse

Consultez les instructions officielles correspondant à votre type de compte. Une allocation Enterprise ne suffit pas à activer la fonctionnalité, et son activation à l’échelle de l’organisation peut avoir un effet immédiat sur les dépôts admissibles.

Comment configurer l’utilisation avant de l’activer ?

Identifiez le compte responsable de l’utilisation et vérifiez les crédits Code Security AI disponibles ainsi que les limites budgétaires. Déterminez qui surveillera les dépenses et qui pourra ajuster le budget. Faites-le avant un déploiement à grande échelle dans l’organisation afin que les pull requests admissibles n’entraînent pas de dépenses inexpliquées.

Un budget qui empêche l’analyse est aussi une condition opérationnelle à consigner. Ne considérez pas l’absence de résultats comme la preuve qu’une modification a été évaluée.

Comment vérifier qu’une pull request entre dans le périmètre ?

Utilisez une PR classique provenant du même dépôt et contenant des modifications dans des langages pris en charge pertinents. Les pull requests provenant de forks et celles de Dependabot ne font pas partie du périmètre documenté. Vérifiez le paramètre effectif de la fonctionnalité et examinez les vues Conversation et Fichiers modifiés de la PR pour repérer les résultats signalés par l’IA.

L’absence de résultat est possible pour une analyse admissible. Cela ne prouve ni que le moteur a échoué ni que le code est sécurisé. La comparaison avec CodeQL explique la différence entre les signaux.

Que faire après un résultat utile ?

Examinez le chemin concerné et la correction proposée, apportez une modification ciblée si nécessaire, puis vérifiez le comportement concerné. Maintenez les revues requises et les contrôles existants applicables, car les résultats d’AI Scan ne bloquent pas les fusions. Le déploiement nécessite toujours le processus habituel de mise à jour et de récupération pris en charge.

Pour les applications PHP hébergées sur un NAS, suivez le guide de mise à jour Docker et le processus de vérification des correctifs à l’exécution afin de vous assurer qu’une modification approuvée de la source parvient bien au service que vous exploitez.

Foire aux questions

Dois-je choisir un modèle pour activer AI Scan ?

Non. La procédure d’activation documentée par GitHub ne nécessite pas de choisir un modèle d’inférence.

Un administrateur de dépôt peut-il l’activer si l’organisation le désactive ?

Non, pas pour un dépôt appartenant à une organisation dans le cadre de la politique documentée. Le paramètre effectif de l’organisation doit l’autoriser.

Une licence Copilot suffit-elle à rendre un dépôt admissible ?

Non. Vérifiez la propriété du dépôt, sa visibilité, les exigences de sécurité du code et les règles en vigueur. GitHub indique qu’une licence Copilot n’est pas requise pour AI Scan.

Un résultat sans problème sur une PR peut-il remplacer la revue ?

Non. Les résultats sont indicatifs et ne constituent pas des preuves de sécurité exhaustives ; maintenez une revue humaine adaptée et les contrôles existants applicables.