セルフホストアプリのリポジトリでGitHub AIスキャンを有効にする方法

GitHub AI Scanを有効にするには、まずリポジトリの所有者と対象となるかどうかを確認します。次に、コードスキャン、AI Scanの実効設定、課金予算を確認してください。組織所有のリポジトリには組織のコントロールが適用されます。組織設定が無効の場合、リポジトリ管理者がローカルのオプションを切り替えるだけでは上書きできません。

自分が管理するプロジェクトを1つ選び、サポート対象の変更を含む通常の同一リポジトリ内プルリクエストを使って始めます。スキャナーが検出するか確かめるために、悪用可能なバグを意図的に仕込まないでください。この機能の実効設定を確認し、通常の人によるレビューを継続しながら、検出結果があれば確認してください。

自分のリポジトリはAI Scanの対象ですか？

GitHubのドキュメントでは、公開リポジトリがサポート対象とされており、組織のプライベートまたは内部リポジトリには追加のライセンス要件があります。現在のドキュメントでは、個人のプライベートリポジトリは対象外です。管理対象ユーザーの個人名前空間には、さらに制限があります。インターフェースのトラブルシューティングを行う前に、現在の所有者と公開範囲の対応表を確認してください。

AI Scanの概要で対象範囲を説明しています。コントロールが表示されない場合、リポジトリの不具合ではなく、適格性やポリシーが原因の可能性があります。

どの設定とポリシーを有効にする必要がありますか？

アカウントの種類に応じた公式の手順を確認してください。エンタープライズの利用枠があるだけでは機能は有効になりません。また、組織で有効にすると、対象リポジトリに直ちに影響する場合があります。

有効にする前に、使用量をどのように設定すればよいですか？

使用量の請求先アカウントを特定し、利用可能なCode Security AIクレジットと予算上限を確認します。誰が支出を監視し、誰が予算を調整できるかを決めます。対象となるプルリクエストで理由のわからない使用量が発生しないよう、組織全体に展開する前に行ってください。

スキャンを実行できない予算状況も、記録すべき運用上の条件です。検出結果がないからといって、変更が評価済みだと判断しないでください。

プルリクエストが対象範囲内かどうかを確認するには？

対応言語の変更を含む、同一リポジトリからの通常のPRを使用してください。フォークやDependabotのプルリクエストは、ドキュメントに記載された対象範囲外です。機能の実効設定を確認し、PRの「Conversation」および「Files changed」ビューにAIラベル付きの検出結果がないか確認してください。

対象となるスキャンで検出結果がない場合もあります。それは、エンジンが機能しなかったことも、コードが安全であることも証明しません。CodeQLとの比較では、シグナルが異なる理由を説明しています。

有用な検出結果があった場合、次に何をすべきですか？

該当箇所と修正案を確認し、妥当であれば対象を絞って修正したうえで、関連する動作確認を行ってください。AI Scanの検出結果ではマージがブロックされないため、必須レビューと既存の強制可能なチェックを維持してください。デプロイには、通常のサポート対象の更新および復旧手順が引き続き必要です。

NAS上でホストしているPHPアプリでは、Dockerの更新ガイドとランタイムのパッチ検証手順を活用し、承認されたソースコードの変更が実際に運用中のサービスに反映されていることを確認してください。

よくある質問

AI Scanを有効にするには、モデルを選択する必要がありますか？

いいえ。GitHubの有効化手順では、推論モデルを選択する必要はありません。

組織が無効にしていても、リポジトリ管理者が有効にできますか？

ドキュメントに記載されたポリシーモデルでは、組織所有のリポジトリの場合、そうとは限りません。組織に適用される設定で利用が許可されている必要があります。

Copilotライセンスがあれば、リポジトリの利用資格があることになりますか？

いいえ。リポジトリの所有者、公開範囲、コードセキュリティ要件、ポリシーを確認してください。GitHubによると、AI Scan自体の利用にCopilotライセンスは必要ありません。

スキャンで問題が見つからなければ、レビューを省略できますか？

いいえ。検出結果は参考情報であり、セキュリティを完全に証明するものではありません。適切な人によるレビューと、既存の強制可能なチェックを引き続き実施してください。

関連記事

• GitHub AI Scanの解説: PHP、Shell、Dockerプロジェクトのセキュリティチェック
• GitHub AI ScanとCodeQLを比較: カバレッジ、検出内容、マージ制御

出典

• 公式発表とモデルのドキュメント — github.blog
• 技術ドキュメントとリファレンス — docs.github.com

カバー画像: GitHub AI Scanの公式発表画像。画像提供元。