Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

Como ativar a análise de IA do GitHub no repositório da sua aplicação autoalojada

Eva Wong

IceWhale author

Eva Wong é a Redatora Técnica e e entusiasta residente na ZimaSpace. Uma geek de longa data com paixão por homelabs e software de código aberto, ela é especialista em traduzir conceitos técnicos complexos em guias acessíveis e práticos . Eva acredita que o auto-hospedagem deve ser divertida, não intimidante. Através dos seus tutoriais, ela capacita a comunidade adesmistificar configurações de hardware , desde a construção do seu primeiro NAS até dominar os contêineres Docker., from building their first NAS to mastering Docker containers.

GitHub AI Scan official announcement cover artwork

Para ativar o GitHub AI Scan, comece por verificar quem é o proprietário do repositório e se este é elegível. Em seguida, confirme a análise de código, a definição efetiva do AI Scan e o orçamento de faturação. Um repositório pertencente a uma organização herda os controlos dessa organização; um administrador do repositório não pode contornar uma definição desativada da organização limitando-se a ativar uma opção local.

Comece com um projeto que mantém e um pull request normal, no mesmo repositório, que contenha alterações suportadas. Não introduza uma vulnerabilidade explorável para ver se o scanner a deteta. Confirme a configuração efetiva da funcionalidade e analise quaisquer conclusões que esta produza, mantendo o seu processo habitual de revisão humana.

O meu repositório é elegível para o AI Scan?

O GitHub documenta o suporte para repositórios públicos, com requisitos de licenciamento adicionais para repositórios privados ou internos de organizações. De acordo com a documentação atual, os repositórios pessoais privados não são elegíveis. Os espaços pessoais de utilizadores geridos estão sujeitos a restrições adicionais. Consulte a matriz atual de propriedade e visibilidade antes de resolver problemas da interface.

A visão geral do AI Scan explica o âmbito. A ausência de um controlo pode dever-se a critérios de elegibilidade ou a políticas, e não a um problema no repositório.

Que definições e políticas têm de estar ativadas?

Nível	O que confirmar
Empresa, quando aplicável	A política permite que as organizações ativem o AI Scan
Organização	AI Scan ativado para repositórios elegíveis
Repositório	Análise de código ativada e estado efetivo de AI Scan permitido
Repositório público pessoal	O administrador ativa o controlo AI Scan na análise de código
Faturação	Os créditos incluídos e os orçamentos de utilização medida permitem a análise

Consulte as instruções oficiais para o seu tipo de conta. Uma quota empresarial, por si só, não ativa a funcionalidade, e a ativação na organização pode afetar imediatamente os repositórios elegíveis.

Como devo configurar a utilização antes de a ativar?

Identifique a conta responsável pela utilização e consulte os créditos de IA do Code Security disponíveis e os limites do orçamento. Decida quem irá monitorizar os gastos e quem poderá ajustar o orçamento. Faça isto antes de uma implementação alargada na organização, para que os pull requests elegíveis não gerem uma utilização inexplicável.

Um orçamento que impeça a análise também é uma condição operacional que deve ser documentada. Não interprete a ausência de conclusões como prova de que uma alteração foi avaliada.

Como posso verificar se um pull request está abrangido pelo âmbito?

Utilize um PR normal do mesmo repositório, com alterações em linguagens suportadas relevantes. Os pull requests de forks e do Dependabot estão fora do âmbito documentado. Confirme a definição efetiva da funcionalidade e consulte as vistas Conversation e Files changed do PR para verificar se existem descobertas identificadas como AI.

A ausência de descobertas é um resultado possível de uma análise elegível. Não prova que o motor tenha falhado nem que o código seja seguro. A comparação com o CodeQL explica por que razão os sinais são diferentes.

O que deve acontecer após uma descoberta útil?

Analise o caminho e a correção proposta, aplique uma correção específica, se for justificada, e execute a verificação de comportamento relevante. Mantenha as revisões obrigatórias e as verificações existentes que podem ser impostas, pois as descobertas do AI Scan não bloqueiam merges. A implementação continua a exigir o processo normal de atualização e recuperação suportado.

Para aplicações PHP alojadas num NAS, utilize o guia de atualização do Docker e o processo de verificação de patches em execução para garantir que uma alteração aprovada no código chega efetivamente ao serviço que opera.

Perguntas frequentes

Tenho de escolher um modelo para ativar o AI Scan?

Não. O processo de ativação documentado pelo GitHub não exige a seleção de um modelo de inferência.

Um administrador do repositório pode ativá-lo se a organização o desativar?

Não para um repositório pertencente a uma organização, segundo o modelo de políticas documentado. A definição efetiva da organização tem de o permitir.

Ter apenas uma licença Copilot torna o repositório elegível?

Não. Verifique a propriedade, a visibilidade, os requisitos de segurança do código e as políticas. O GitHub afirma que não é necessária uma licença Copilot para utilizar o AI Scan.

Um resultado limpo de um PR deve substituir a revisão?

Não. As descobertas são indicativas e constituem provas de segurança incompletas; mantenha a revisão humana adequada e as verificações existentes que podem ser impostas.