Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

Come abilitare la scansione AI di GitHub per il repository della tua app self-hosted

Eva Wong

IceWhale author

Eva Wong è la Technical Writer e smanettatrice residente di ZimaSpace. Una geek da sempre con una passione per homelab e software open-source, si specializza nel tradurre concetti tecnici complessi in guide accessibili e pratiche. Eva crede che l'auto-ospitare debba essere divertente, non intimidatorio. Attraverso i suoi tutorial, dà potere alla comunità di demistificare le configurazioni hardware, dalla costruzione del loro primo NAS al dominio dei container Docker.

GitHub AI Scan official announcement cover artwork

Per abilitare GitHub AI Scan, verifica innanzitutto chi è proprietario del repository e se è idoneo. Poi controlla l'analisi del codice, l'impostazione effettiva di AI Scan e il budget di fatturazione. Un repository di proprietà di un'organizzazione eredita i controlli dell'organizzazione; l'amministratore del repository non può ignorare un'impostazione dell'organizzazione disabilitata limitandosi ad attivare un'opzione locale.

Inizia con un progetto di cui ti occupi e una normale pull request nello stesso repository contenente modifiche supportate. Non inserire una vulnerabilità sfruttabile per verificare se lo scanner la rileva. Controlla la configurazione effettiva della funzionalità e verifica gli eventuali risultati, continuando a seguire il normale processo di revisione umana.

Il mio repository è idoneo per AI Scan?

GitHub documenta il supporto per i repository pubblici, con requisiti di licenza aggiuntivi per i repository privati o interni delle organizzazioni. Secondo la documentazione attuale, i repository privati personali non sono idonei. Gli spazi dei nomi personali degli utenti gestiti sono soggetti ad ulteriori restrizioni. Prima di risolvere i problemi dell'interfaccia, controlla la matrice aggiornata di proprietà e visibilità.

La panoramica di AI Scan spiega l'ambito. Se il controllo non è visibile, potrebbe dipendere dai requisiti di idoneità o dalle policy, non da un problema del repository.

Quali impostazioni e policy devono essere abilitate?

Livello	Cosa verificare
Enterprise, se applicabile	Le policy consentono alle organizzazioni di abilitare AI Scan
Organizzazione	AI Scan abilitato per i repository idonei
Repository	Analisi del codice abilitata e stato effettivo di AI Scan consentito
Repository pubblico personale	L'amministratore attiva il controllo AI Scan nella sezione analisi del codice
Fatturazione	I crediti inclusi e i budget per l'utilizzo a consumo consentono la scansione

Consulta le istruzioni ufficiali relative al tuo tipo di account. La sola disponibilità di crediti aziendali non attiva la funzionalità, e l'attivazione a livello di organizzazione può avere effetti immediati sui repository idonei.

Come devo configurare l'utilizzo prima di abilitarlo?

Individua l'account responsabile dell'utilizzo e verifica i crediti Code Security AI disponibili e i limiti di budget. Decidi chi monitorerà la spesa e chi potrà modificare il budget. Fallo prima di estendere l'attivazione all'intera organizzazione, così le pull request idonee non genereranno consumi inspiegabili.

Anche un budget che impedisce la scansione è una condizione operativa da documentare. Non interpretare l'assenza di risultati come prova che una modifica sia stata valutata.

Come faccio a verificare che una pull request rientri nell'ambito previsto?

Usate una normale PR dallo stesso repository con modifiche in linguaggi supportati pertinenti. Le pull request provenienti da fork e quelle di Dependabot non rientrano nell’ambito documentato. Verificate l’impostazione effettiva della funzionalità e controllate le schede Conversation e Files changed della PR per individuare eventuali risultati contrassegnati come generati dall’IA.

L’assenza di risultati è un possibile esito di una scansione idonea. Non dimostra né che il motore non abbia funzionato né che il codice sia sicuro. Il confronto con CodeQL spiega perché i segnali sono diversi.

Cosa fare dopo un risultato utile?

Esaminate il percorso e la correzione proposta, applicate una modifica circoscritta se opportuno ed eseguite il controllo pertinente del comportamento. Mantenete le revisioni obbligatorie e i controlli esistenti che possono essere applicati, poiché i risultati di AI Scan non bloccano i merge. La distribuzione richiede comunque la normale procedura supportata di aggiornamento e ripristino.

Per le app PHP ospitate su NAS, usate la guida all’aggiornamento di Docker e il flusso di lavoro per verificare le patch in fase di esecuzione per assicurarvi che una modifica approvata al codice raggiunga effettivamente il servizio che gestite.

Domande frequenti

Devo scegliere un modello per abilitare AI Scan?

No. La procedura di abilitazione documentata da GitHub non richiede la selezione di un modello di inferenza.

Un amministratore del repository può abilitarlo se l’organizzazione lo disabilita?

Non per un repository di proprietà di un’organizzazione secondo il modello di criteri documentato. L’impostazione effettiva dell’organizzazione deve consentirlo.

Una licenza Copilot da sola determina l’idoneità del repository?

No. Verificate la titolarità, la visibilità, i requisiti di sicurezza del codice e i criteri. GitHub dichiara che per AI Scan non è necessaria una licenza Copilot.

Un risultato pulito della PR può sostituire la revisione?

No. I risultati sono indicazioni consultive e prove di sicurezza incomplete; mantenete un’adeguata revisione umana e i controlli esistenti che possono essere applicati.