Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

GitHub AI Scan inschakelen voor je zelfgehoste app-repository

Eva Wong

IceWhale author

Eva Wong is de Technisch Schrijver en en vaste knutselaar bij ZimaSpace. Een levenslange geek met een passie voor homelabs en open-source software, zij is gespecialiseerd in het vertalen van complexe technische concepten naar toegankelijke, praktische handleidingen. Eva gelooft dat zelf-hosting leuk moet zijn, niet intimiderend. Met haar tutorials stelt ze de community in staat om hardware-setup te ontrafelen, van het bouwen van hun eerste NAS tot het beheersen van Docker-containers.

GitHub AI Scan official announcement cover artwork

Controleer eerst wie eigenaar is van de repository en of deze in aanmerking komt om GitHub AI Scan in te schakelen. Bevestig daarna code scanning, de effectieve AI Scan-instelling en het factureringsbudget. Een repository die eigendom is van een organisatie valt onder de instellingen van die organisatie; een repositorybeheerder kan een uitgeschakelde organisatie-instelling niet omzeilen door alleen een lokale optie om te schakelen.

Begin met één project dat je onderhoudt en een gewone pull request in dezelfde repository met ondersteunde wijzigingen. Voeg geen misbruikbare bug toe om te zien of de scanner die opmerkt. Controleer de effectieve configuratie van de functie en bekijk eventuele bevindingen, terwijl je je gebruikelijke menselijke beoordelingsproces behoudt.

Komt mijn repository in aanmerking voor AI Scan?

GitHub documenteert ondersteuning voor openbare repositories, met aanvullende licentievereisten voor privé- of interne repositories van organisaties. Persoonlijke privé-repositories komen volgens de huidige documentatie niet in aanmerking. Persoonlijke naamruimten van beheerde gebruikers hebben aanvullende beperkingen. Controleer de actuele matrix voor eigendom en zichtbaarheid voordat je problemen met de interface gaat oplossen.

Het overzicht van AI Scan legt het bereik uit. Als een bediening ontbreekt, kan dat komen door geschiktheid of beleid, en hoeft er dus geen probleem met de repository te zijn.

Welke instellingen en beleidsregels moeten zijn ingeschakeld?

Niveau	Wat moet je bevestigen?
Enterprise, indien van toepassing	Beleid staat organisaties toe AI Scan in te schakelen
Organisatie	AI Scan ingeschakeld voor in aanmerking komende repositories
Repository	Code scanning is ingeschakeld en de effectieve AI Scan-status staat toe
Persoonlijke openbare repository	Beheerder schakelt de AI Scan-bediening in onder code scanning
Facturering	Inbegrepen tegoeden en budgetten voor gebruik op basis van verbruik maken scannen mogelijk

Raadpleeg de officiële instructies voor je accounttype. Een enterprise-tegoed schakelt de functie op zichzelf niet in, en inschakeling op organisatieniveau kan direct gevolgen hebben voor in aanmerking komende repositories.

Hoe stel ik het gebruik in voordat ik de functie inschakel?

Bepaal welk account verantwoordelijk is voor het gebruik en controleer de beschikbare Code Security AI Credits en budgetlimieten. Beslis wie de uitgaven bijhoudt en wie het budget kan aanpassen. Doe dit voordat je de functie breed binnen de organisatie uitrolt, zodat in aanmerking komende pull requests niet tot onverklaarbaar gebruik leiden.

Een budget dat scannen verhindert, is ook een operationele omstandigheid die je moet documenteren. Beschouw ontbrekende bevindingen niet als bewijs dat een wijziging is beoordeeld.

Hoe controleer ik of een pull request binnen het bereik valt?

Gebruik een normale PR vanuit dezelfde repository met relevante wijzigingen in ondersteunde talen. Pull requests vanuit forks en Dependabot vallen buiten het gedocumenteerde bereik. Controleer de effectieve functie-instelling en bekijk de tabbladen Conversation en Files changed van de PR op bevindingen met het label AI.

Geen bevindingen is een mogelijke uitkomst van een in aanmerking komende scan. Dit bewijst niet dat de engine heeft gefaald of dat de code veilig is. De vergelijking met CodeQL legt uit waarom de signalen verschillen.

Wat moet er gebeuren na een nuttige bevinding?

Controleer het pad en de voorgestelde oplossing, voer zo nodig een gerichte correctie door en voer de relevante gedragscontrole uit. Houd verplichte beoordelingen en bestaande afdwingbare controles in stand, omdat bevindingen van AI Scan samenvoegingen niet blokkeren. Voor de implementatie zijn nog steeds het gebruikelijke ondersteunde update- en herstelproces nodig.

Gebruik voor PHP-apps die op een NAS worden gehost de handleiding voor Docker-updates en de workflow voor het verifiëren van runtimepatches om te controleren of een goedgekeurde wijziging in de broncode daadwerkelijk terechtkomt in de service die je beheert.

Veelgestelde vragen

Moet ik een model kiezen om AI Scan in te schakelen?

Nee. Volgens het gedocumenteerde inschakelproces van GitHub hoef je geen inferentiemodel te selecteren.

Kan een repositorybeheerder de functie inschakelen terwijl de organisatie deze uitschakelt?

Niet voor een repository die eigendom is van een organisatie volgens het gedocumenteerde beleidsmodel. De effectieve instelling van de organisatie moet het toestaan.

Geeft alleen een Copilot-licentie recht op toegang tot de repository?

Nee. Controleer het eigenaarschap, de zichtbaarheid, de codebeveiligingsvereisten en het beleid. GitHub geeft aan dat voor AI Scan zelf geen Copilot-licentie vereist is.