Should AI Scan replace CodeQL?

No automatic replacement follows. Its documented role is complementary coverage for selected languages and frameworks.

Are AI Scan findings ordinary backlog alerts?

No. GitHub documents them as pull-request findings rather than full-repository backlog alerts in the security view.

Can I require every AI Scan finding to pass a ruleset?

No. AI Scan findings are advisory and do not enforce merge requirements.

Does passing code scanning prove the deployed NAS app is patched?

No. Verify the built and running revision, applicable runtime fix, and focused service behavior separately.

GitHub AI Scan versus CodeQL: Vergelijking van dekking, bevindingen en samenvoegingscontroles

Eva Wong

IceWhale author

Eva Wong is de Technisch Schrijver en en vaste knutselaar bij ZimaSpace. Een levenslange geek met een passie voor homelabs en open-source software, zij is gespecialiseerd in het vertalen van complexe technische concepten naar toegankelijke, praktische handleidingen. Eva gelooft dat zelf-hosting leuk moet zijn, niet intimiderend. Met haar tutorials stelt ze de community in staat om hardware-setup te ontrafelen, van het bouwen van hun eerste NAS tot het beheersen van Docker-containers.

GitHub AI Scan official announcement cover artwork

Gebruik GitHub AI Scan als aanvulling op CodeQL wanneer de gedocumenteerde ondersteuning voor talen en frameworks je review van pull requests ten goede komt. Blijf CodeQL gebruiken voor de ondersteunde analyses en waarschuwingsworkflows. Het zijn geen onderling uitwisselbare controles: AI Scan geeft alleen adviserende signalen voor PR's en kan samenvoegingen niet via regelsconfiguraties blokkeren.

Voor een zelfgehoste applicatierepository hangt de juiste combinatie af van je programmeertalen en implementatieproces. Geen van beide scanners is een vervanging voor het bijwerken van een kwetsbare runtime of het controleren van de live applicatie. Controleer de broncode, implementeer ondersteunde wijzigingen en verifieer de service als afzonderlijke stappen.

Wat verschilt er in dekking en uitvoer?

Aspect	AI Scan	CodeQL
Belangrijkste dekking	Geselecteerde onderdelen die niet door CodeQL worden gedekt	Ondersteunde talen en geconfigureerde analyses
Belangrijkste plek voor bevindingen	AI-gelabelde bevindingen in pull requests	Code-scanningwaarschuwingen en PR-resultaten
Achterstand voor de volledige repository	Niet ondersteund door AI Scan	Afhankelijk van de geconfigureerde analyse
Controle op samenvoegen	Adviserend; kan geen vereisten van regelsconfiguraties afdwingen	Ondersteunde code-scanningcontroles zijn afhankelijk van de configuratie
Relatie	Aanvullend signaal	Bestaande analyse- en waarschuwingsworkflow

Controleer de huidige taalondersteuning in plaats van uit te gaan van een vaste verdeling. GitHub kan de dekking van beide producten uitbreiden of wijzigen.

Welke tool is geschikt voor PHP, Shell en Dockerfiles?

GitHub noemt deze talen en bestanden als voorbeelden die door AI Scan worden ondersteund. Daardoor is de tool relevant voor repositories met een app, onderhoudsscripts en containerconfiguratie. Controleer welke bestanden daadwerkelijk zijn gewijzigd en of de PR in aanmerking komt; uitsluitingen voor forks en Dependabot zijn nog steeds van toepassing.

De uitleg over AI Scan behandelt de operationele grenzen. Een bevinding in een Dockerfile betekent ook niet dat elke laag van de geïmplementeerde image op kwetsbaarheden is beoordeeld.

Kan ik een van beide tools gebruiken als voorwaarde voor samenvoegen?

Beschouw AI Scan als input voor reviews, omdat de adviezen van deze tool geen vereiste voor samenvoegen kunnen worden. Raadpleeg voor CodeQL en andere controles de ondersteunde opties voor code-scanningbeveiliging en regelsconfiguraties voor je repository. Ga er niet van uit dat beleid voor verplichte controles ook geldt voor AI Scan, alleen omdat beide resultaten in dezelfde PR verschijnen.

Leg vast welke controles samenvoegen daadwerkelijk blokkeren, welke om beoordeling door een reviewer vragen en wie ze kan omzeilen. Een dashboard waarop beide tools worden weergegeven, bewijst niet dat ze dezelfde handhaving bieden.

Moet CodeQL worden vervangen als je AI Scan toevoegt?

Nee. Het gedocumenteerde doel is aanvullende dekking. Begin met de talen en hiaten in je repository, controleer of de functie beschikbaar is en wat de kosten zijn, en schakel het extra signaal vervolgens in waar dat nuttig is. Verwijder een werkende analyse niet alleen omdat er een nieuwe AI-functie beschikbaar is.

Gebruik de handleiding voor het instellen van AI Scan om de actieve beleidsregels te controleren. Beoordeel een gewone wijziging die binnen het toepassingsgebied valt voordat je de functie voor meerdere projecten inschakelt.

Hoe koppel ik scannen aan een implementatie op een homeserver?

Houd de beoordeelde bronrevisie, gebouwde image en geïmplementeerde service traceerbaar. Een scannerresultaat heeft betrekking op de geanalyseerde code; de draaiende server kan een andere image of een verouderd pakket gebruiken. Leg vast wat daadwerkelijk is geïmplementeerd en controleer een belangrijke gebruiksroute van de toepassing.

De handleiding van beveiligingsadvies tot implementatie overbrugt die kloof. Voor toepassingen van derden helpt de handleiding voor het vaststellen van de PHP-runtimeversie om wijzigingen in je repository te onderscheiden van een runtime-update van een leverancier.

Veelgestelde vragen

Moet AI Scan CodeQL vervangen?

Er volgt geen automatische vervanging. De gedocumenteerde rol is aanvullende dekking voor geselecteerde talen en frameworks.

Zijn AI Scan-bevindingen gewone waarschuwingen voor achterstallig werk?

Nee. GitHub beschrijft ze als bevindingen in pull requests, niet als waarschuwingen voor achterstallig werk in de volledige repository in de beveiligingsweergave.