Does Agentic Autofix automatically deploy a fix to my NAS?

No. The described output is a draft pull request. Review, merging, building, and deployment remain separate steps.

Can I assign an alert that exists only on a pull request?

GitHub documents support for eligible default-branch alerts, rather than alerts found only on other branches or PRs.

Does a closed CodeQL alert prove the entire app is correct?

No. It is security-analysis evidence and should be paired with focused functional review and checks.

Can it replace an application vendor’s security update?

No. Use the supported vendor release for packaged third-party software unless you deliberately maintain your own reviewed build.

Explicação do GitHub Agentic Autofix: dos alertas de segurança aos pedidos de revisão prontos a analisar

Eva Wong

IceWhale author

Eva Wong é a Redatora Técnica e e entusiasta residente na ZimaSpace. Uma geek de longa data com paixão por homelabs e software de código aberto, ela é especialista em traduzir conceitos técnicos complexos em guias acessíveis e práticos . Eva acredita que o auto-hospedagem deve ser divertida, não intimidante. Através dos seus tutoriais, ela capacita a comunidade adesmistificar configurações de hardware , desde a construção do seu primeiro NAS até dominar os contêineres Docker., from building their first NAS to mastering Docker containers.

GitHub Agentic Autofix official announcement cover artwork

O GitHub Agentic Autofix transforma um alerta de segurança elegível numa alteração de código passível de revisão: investiga os ficheiros relevantes, propõe uma correção, volta a executar o CodeQL e abre um pedido de alteração em rascunho. Pode reduzir o trabalho necessário entre a deteção de um alerta e uma correção candidata. Fechar o alerta não é o mesmo que comprovar que a aplicação funciona ou implementar a alteração.

Num projeto de servidor doméstico, reveja as alterações, verifique o comportamento afetado e mantenha uma forma de reverter a alteração antes de lançar a imagem ou o pacote resultante. Associe a revisão do código-fonte à implementação efetiva. Um PR em rascunho produzido por IA deve facilitar a decisão seguinte, não ocultar que software está a ser executado no seu NAS.

O que faz o Agentic Autofix com um alerta?

A funcionalidade trabalha com os ficheiros relevantes do repositório, em vez de propor apenas uma alteração isolada. O GitHub descreve um processo iterativo que utiliza a validação do CodeQL antes de criar um pedido de alteração em rascunho. Consulte o resumo gerado e as evidências de validação juntamente com o próprio código.

A comparação entre deteção e correção explica por que motivo uma vulnerabilidade detetada, uma correção proposta e uma correção implementada são etapas distintas.

Que pré-requisitos e limitações são importantes?

Requisito	O que verificar
Acesso	Produto de segurança elegível do Enterprise Cloud e políticas aplicáveis
Ativação	Política empresarial e, em seguida, definições da organização ou do repositório
Faturação	Configuração de faturação necessária, créditos de IA e utilização do Actions
Âmbito do alerta	Um alerta que pode ser atribuído no ramo predefinido
Resultado	Um PR em rascunho para revisão, em vez de uma publicação automática em produção

Verifique a disponibilidade atual para a sua conta nas fontes oficiais. Não assuma que a funcionalidade está incluída apenas por poder utilizar um assistente de programação de uso geral.

O que comprova uma nova execução bem-sucedida do CodeQL?

Fornece evidências sobre a deteção estática relevante, nas condições dessa análise. Não comprova todos os requisitos funcionais, integrações, definições de implementação ou migrações de dados. Uma alteração no percurso de autorização pode eliminar um alerta e, ao mesmo tempo, afetar um fluxo de trabalho legítimo.

Utilize o guia de revisão do Autofix para combinar as evidências de segurança com uma verificação comportamental específica. Amplie os testes quando as diferenças no código ou a incerteza restante o justificarem.

Que impacto tem nas aplicações autoalojadas?

É mais útil diretamente para o código que mantém num repositório elegível. Uma aplicação de terceiros ou um runtime PHP costuma exigir uma versão suportada pelo respetivo fornecedor. Editar o repositório de implementação não corrige um runtime incluído numa imagem que não foi alterada.

O guia de identificação do runtime PHP e o processo de verificação de avisos de segurança ajudam a relacionar a alteração no código-fonte com o serviço afetado.

O que deve ser guardado com a alteração final?

Guarde a referência do alerta, o diff revisto, as validações relevantes, o identificador do artefacto compilado, a data de implementação e as notas de reversão. Guarde as cópias de segurança da aplicação separadamente do repositório. O ZimaCube 2 pode armazenar estes ficheiros, mas não transforma um PR de rascunho numa implementação em produção verificada.

Para perceber a diferença entre detetar um problema num PR e gerar uma correção mais abrangente, leia a comparação entre o AI Scan e o Agentic Autofix.

Perguntas frequentes

O Agentic Autofix implementa automaticamente uma correção no meu NAS?

Não. O resultado descrito é um pull request de rascunho. A revisão, a integração, a compilação e a implementação continuam a ser etapas distintas.

Posso atribuir um alerta que só existe num pull request?

O GitHub documenta o suporte para alertas elegíveis da branch predefinida, e não para alertas encontrados apenas noutras branches ou em PRs.

O fecho de um alerta do CodeQL prova que a aplicação está totalmente correta?

Não. É uma evidência da análise de segurança e deve ser complementada por uma revisão funcional específica e por testes.

Pode substituir uma atualização de segurança do fornecedor de uma aplicação?

Não. Utilize a versão oficial do fornecedor para software de terceiros distribuído em pacotes, a menos que faça deliberadamente a manutenção da sua própria versão, devidamente revista.