Does AI Scan block a pull request from merging?

No. Its findings are advisory and cannot enforce merge requirements through rulesets.

Does AI Scan inspect the applications already running on my NAS?

No. It analyzes qualifying pull-request changes in GitHub repositories.

Does it run on fork or Dependabot pull requests?

GitHub documents that those pull requests are excluded.

Can AI Scan replace PHP runtime updates?

No. Update affected packages or application images through the relevant vendor-supported process.

GitHub AI Scan uitgelegd: beveiligingscontroles voor PHP-, Shell- en Docker-projecten

Eva Wong

IceWhale author

Eva Wong is de Technisch Schrijver en en vaste knutselaar bij ZimaSpace. Een levenslange geek met een passie voor homelabs en open-source software, zij is gespecialiseerd in het vertalen van complexe technische concepten naar toegankelijke, praktische handleidingen. Eva gelooft dat zelf-hosting leuk moet zijn, niet intimiderend. Met haar tutorials stelt ze de community in staat om hardware-setup te ontrafelen, van het bouwen van hun eerste NAS tot het beheersen van Docker-containers.

GitHub AI Scan official announcement cover artwork

GitHub AI Scan voegt beveiligingsbevindingen toe aan in aanmerking komende pull requests, waaronder wijzigingen in PHP, Shell en Dockerfiles. De functie kan helpen bij het beoordelen van code en configuratie rond zelfgehoste apps. De bevindingen zijn adviserend: ze laten de controle voor codescanning niet mislukken en worden geen vereiste voor een ruleset die merges blokkeert.

Gebruik de functie als extra beoordelingssignaal voor repositories die je beheert. De functie inspecteert niet elke actieve service op je NAS, werkt geen geïnstalleerde PHP-runtime bij en bewijst niet dat een container van een derde partij veilig is. Blijf broncodebeoordeling combineren met ondersteunde updates en verificatie van de actieve applicatie.

Wat controleert GitHub AI Scan?

AI Scan vult CodeQL aan met dekking voor geselecteerde talen en frameworks. GitHub beschrijft analyse op basis van pull requests, geen volledige scan van de achterstand in de repository. Bevindingen verschijnen in de pull request met een AI-label, zodat ze te onderscheiden zijn van CodeQL-resultaten.

Voor een thuisserverproject kan dit relevant zijn voor een implementatiescript of Dockerfile die je daadwerkelijk wijzigt. Het is geen vervanging voor het controleren van de status bij de leverancier van de basisimage en de verpakte applicatie.

Welke hiaten in de workflow moet ik begrijpen?

Verwachting	De werkelijke grens waarmee je rekening moet houden
Controleer elke bijdrage	Pull requests van forks en Dependabot zijn uitgesloten
Blokkeer onveilige merges automatisch	Bevindingen van AI Scan zijn adviserend
Scan de hele actieve NAS	De functie analyseert in aanmerking komende pull requests
Werk alle afhankelijkheden bij	Updates van leveranciers en pakketten blijven afzonderlijk
Bewijs dat een schoon resultaat veilig is	Bevindingen kunnen onvolledig of onjuist zijn

Beschouw het ontbreken van bevindingen als beperkt bewijs. Een reviewer moet nog steeds rekening houden met het daadwerkelijke codepad en de implementatie-instellingen.

Waarom is dit nuttig na het PHP-beveiligingsincident?

De PHP-respons benadrukt zowel het risico van applicatiecode als het onderhoud van de runtime. Een scanner voor pull requests kan helpen bij risicovolle code die je schrijft; voor een kwetsbaarheid in de runtime is de juiste upstream- of downstreamupdate nodig. Dit zijn verwante verantwoordelijkheden, maar ze steunen op verschillend bewijs.

De gids voor de softwarestack en de uitleg over Patch the Planet helpen om die grens te bepalen. Een opgeschoonde repository vervangt niet automatisch een kwetsbaar binair bestand in productie.

Hoe moet een beheerder een bevinding opvolgen?

Lees het getroffen codepad, controleer of de gemelde omstandigheden van toepassing zijn en bekijk eventuele voorgestelde wijzigingen. Houd de correctie beperkt. Test het relevante verwachte gedrag en controleer of een beveiligingsoplossing geen vereiste controle verwijdert of een legitieme toepassing verstoort.

In onze handleiding voor beveiligingsadviezen en patchverificatie wordt de latere implementatiestap behandeld. Bewaar herstelbestanden apart van mappen waarin toepassingen kunnen schrijven.

Wat moet ik als eerste instellen?

Controleer of de repository in aanmerking komt, of code scanning is ingeschakeld, wat de effectieve AI Scan-instelling is en welk budget verantwoordelijk is voor de facturering. Beleid op organisatie- en ondernemingsniveau kan beperkingen opleggen aan repository-instellingen. Begin met één geschikte repository voordat je dit voor een grotere groep inschakelt.

Volg de handleiding voor het inschakelen van AI Scan. Als je CodeQL al gebruikt, lees dan de vergelijking tussen AI Scan en CodeQL om te begrijpen waarom aanvullende dekking niet betekent dat de samenvoegingscontroles identiek zijn.