Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

Jak włączyć skanowanie AI GitHub w repozytorium własnej aplikacji hostowanej na własnym serwerze

Eva Wong

IceWhale author

Eva Wong jest Technicznym pisarzem i stałym majsterkowiczem w ZimaSpace. Całe życie geek z pasją do homelabów i oprogramowania open-source, specjalizuje się w tłumaczeniu skomplikowanych koncepcji technicznych na przystępne, praktyczne przewodniki. Eva wierzy, że samodzielne hostowanie powinno być zabawą, a nie czymś onieśmielającym. Poprzez swoje samouczki umożliwia społeczności rozwiewanie tajemnic konfiguracji sprzętu, od budowy pierwszego NAS po opanowanie kontenerów Docker.

GitHub AI Scan official announcement cover artwork

Aby włączyć GitHub AI Scan, najpierw sprawdź, kto jest właścicielem repozytorium i czy się kwalifikuje. Następnie potwierdź, że skanowanie kodu jest włączone, sprawdź efektywne ustawienie AI Scan i budżet rozliczeń. Repozytorium należące do organizacji podlega jej ustawieniom; administrator repozytorium nie może obejść wyłączonego ustawienia organizacji, przełączając lokalną opcję.

Zacznij od projektu, który utrzymujesz, oraz zwykłego pull requesta w tym samym repozytorium, zawierającego obsługiwane zmiany. Nie dodawaj celowo możliwego do wykorzystania błędu, aby sprawdzić, czy skaner go wykryje. Potwierdź efektywną konfigurację funkcji i sprawdź wszelkie wykryte problemy, nie rezygnując przy tym ze standardowej weryfikacji przez człowieka.

Czy moje repozytorium kwalifikuje się do AI Scan?

GitHub dokumentuje obsługę repozytoriów publicznych, a w przypadku prywatnych lub wewnętrznych repozytoriów organizacji obowiązują dodatkowe wymagania licencyjne. Zgodnie z aktualną dokumentacją prywatne repozytoria osobiste nie kwalifikują się. Osobiste przestrzenie nazw użytkowników zarządzanych podlegają dodatkowym ograniczeniom. Przed diagnozowaniem problemów z interfejsem sprawdź aktualną tabelę własności i widoczności.

Omówienie AI Scan wyjaśnia zakres. Brak odpowiedniej opcji może wynikać z braku uprawnień lub ograniczeń zasad, a nie z problemu z repozytorium.

Które ustawienia i zasady muszą być włączone?

Poziom	Co należy potwierdzić
Przedsiębiorstwo, jeśli ma zastosowanie	Zasady zezwalają organizacjom na włączenie AI Scan
Organizacja	AI Scan włączone dla kwalifikujących się repozytoriów
Repozytorium	Skanowanie kodu jest włączone, a efektywny status AI Scan to „dozwolone”
Publiczne repozytorium osobiste	Administrator włącza opcję AI Scan w ustawieniach skanowania kodu
Rozliczenia	Wliczone kredyty i budżety na użycie rozliczane według zużycia umożliwiają skanowanie

Sprawdź oficjalne instrukcje dotyczące typu konta. Sam przydział dla przedsiębiorstwa nie włącza funkcji, a włączenie jej w organizacji może natychmiast objąć kwalifikujące się repozytoria.

Jak skonfigurować użycie przed włączeniem tej funkcji?

Ustal konto odpowiedzialne za użycie i sprawdź dostępne kredyty Code Security AI Credits oraz limity budżetu. Zdecyduj, kto będzie monitorować wydatki, a kto może zmienić budżet. Zrób to przed wdrożeniem w całej organizacji, aby kwalifikujące się pull requesty nie powodowały niewyjaśnionego zużycia.

Budżet, który uniemożliwia skanowanie, również jest warunkiem operacyjnym, który należy udokumentować. Brak wyników nie oznacza, że zmiana została oceniona.

Jak sprawdzić, czy pull request mieści się w zakresie?

Użyj standardowego PR z tego samego repozytorium, zawierającego zmiany w obsługiwanym języku. Pull requesty z forków i Dependabot nie należą do udokumentowanego zakresu. Potwierdź efektywne ustawienie funkcji i sprawdź widoki Conversation oraz Files changed w PR pod kątem wykryć oznaczonych jako AI.

Brak wykryć jest możliwym wynikiem kwalifikującego się skanowania. Nie dowodzi ani tego, że silnik nie zadziałał, ani tego, że kod jest bezpieczny. Porównanie z CodeQL wyjaśnia, dlaczego wyniki się różnią.

Co należy zrobić po uzyskaniu przydatnego wyniku?

Sprawdź ścieżkę i proponowaną poprawkę, w razie potrzeby wprowadź ograniczoną zakresowo korektę i uruchom odpowiedni test działania. Zachowaj wymagane przeglądy i dotychczasowe egzekwowalne kontrole, ponieważ wykrycia AI Scan nie blokują scalania. Wdrożenie nadal wymaga standardowej, obsługiwanej procedury aktualizacji i odzyskiwania.

W przypadku aplikacji PHP hostowanych na NAS skorzystaj z instrukcji aktualizacji Dockera oraz procedury weryfikacji poprawek w środowisku uruchomieniowym, aby upewnić się, że zatwierdzona zmiana w kodzie rzeczywiście trafia do obsługiwanej przez Ciebie usługi.

Często zadawane pytania

Czy do włączenia AI Scan muszę wybrać model?

Nie. Udokumentowana przez GitHub procedura włączania nie wymaga wyboru modelu wnioskowania.

Czy administrator repozytorium może ją włączyć, gdy organizacja ją wyłączyła?

Nie w przypadku repozytorium należącego do organizacji, zgodnie z udokumentowanym modelem zasad. Efektywne ustawienie organizacji musi zezwalać na tę funkcję.

Czy sama licencja Copilot potwierdza kwalifikację repozytorium?

Nie. Sprawdź właściciela, widoczność, wymagania dotyczące bezpieczeństwa kodu i zasady. GitHub informuje, że sama funkcja AI Scan nie wymaga licencji Copilot.

Czy czysty wynik dla PR powinien zastąpić przegląd?

Nie. Wykrycia mają charakter doradczy i nie stanowią pełnego potwierdzenia bezpieczeństwa; należy zachować odpowiedni nadzór człowieka oraz dotychczasowe egzekwowalne kontrole.