Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

Så aktiverar du GitHubs AI-skanning för ditt selfhostade appförråd

Eva Wong

IceWhale author

Eva Wong är Teknisk skribent och den boende fixaren på ZimaSpace. En livslång nörd med en passion för hemma-labb och öppen källkod, hon specialiserar sig på att översätta komplexa tekniska koncept till tillgängliga, praktiska guider. Eva tror att självhosting ska vara roligt, inte skrämmande. Genom sina handledningar ger hon gemenskapen verktyg att avmystifiera hårdvaruinstallationer, från att bygga sin första NAS till att bemästra Docker-containrar.

GitHub AI Scan official announcement cover artwork

För att aktivera GitHub AI Scan bör du först kontrollera vem som äger kodförrådet och om det är kvalificerat. Bekräfta sedan kodskanning, den faktiska AI Scan-inställningen och faktureringsbudgeten. Ett organisationsägt kodförråd omfattas av organisationens inställningar. En administratör för kodförrådet kan inte åsidosätta en inaktiverad organisationsinställning genom att bara ändra ett lokalt alternativ.

Börja med ett projekt du underhåller och en vanlig pull request från samma kodförråd som innehåller ändringar som stöds. Lägg inte in en exploaterbar bugg för att se om skannern upptäcker den. Bekräfta funktionens faktiska konfiguration och granska eventuella fynd, samtidigt som du fortsätter med din vanliga mänskliga granskningsprocess.

Är mitt kodförråd kvalificerat för AI Scan?

GitHub dokumenterar stöd för offentliga kodförråd, med ytterligare licenskrav för privata kodförråd eller kodförråd som tillhör organisationer. Personliga privata kodförråd stöds inte enligt den aktuella dokumentationen. Personliga namnrymder för hanterade användare omfattas av ytterligare begränsningar. Kontrollera den aktuella matrisen för ägarskap och synlighet innan du felsöker gränssnittet.

Översikten över AI Scan förklarar omfattningen. Om ett reglage saknas kan det bero på behörighet eller policy, snarare än på ett fel i kodförrådet.

Vilka inställningar och policyer måste vara aktiverade?

Nivå	Vad ska bekräftas
Företag, när det är tillämpligt	Policy tillåter organisationer att aktivera AI Scan
Organisation	AI Scan aktiverat för kvalificerade kodförråd
Kodförråd	Kodskanning aktiverad och effektiv AI Scan-status tillåten
Personligt offentligt kodförråd	Administratören aktiverar AI Scan-reglaget under kodskanning
Fakturering	Inkluderade krediter och budgetar för debiterad användning gör skanning möjlig

Granska de officiella anvisningarna för din kontotyp. En företagskvot aktiverar inte funktionen i sig, och aktivering på organisationsnivå kan omedelbart påverka kvalificerade kodförråd.

Hur bör jag konfigurera användningen innan jag aktiverar funktionen?

Ta reda på vilket konto som ansvarar för användningen och granska tillgängliga Code Security AI Credits och budgetgränser. Bestäm vem som ska övervaka utgifterna och vem som kan justera budgeten. Gör detta innan ni rullar ut funktionen brett i organisationen, så att kvalificerade pull requests inte leder till oförklarad användning.

En budget som förhindrar skanning är också ett driftförhållande som ska dokumenteras. Tolka inte frånvaron av fynd som bevis för att en ändring har granskats.

Hur kontrollerar jag att en pull request omfattas av funktionen?

Använd en vanlig PR från samma arkiv med relevanta ändringar i språk som stöds. Pull-förfrågningar från forkar och Dependabot ligger utanför det dokumenterade tillämpningsområdet. Bekräfta den effektiva funktionsinställningen och kontrollera vyerna Samtal och Ändrade filer i PR:en för eventuella AI-märkta fynd.

Att inga fynd rapporteras är ett möjligt utfall av en behörig genomsökning. Det bevisar varken att motorn misslyckades eller att koden är säker. Jämförelsen med CodeQL förklarar varför resultaten skiljer sig.

Vad bör göras efter ett användbart fynd?

Granska sökvägen och den föreslagna korrigeringen, gör en avgränsad ändring om det är motiverat och kör relevant funktionstest. Behåll obligatoriska granskningar och befintliga tvingande kontroller eftersom AI Scan-fynd inte blockerar sammanslagningar. Driftsättning kräver fortfarande den vanliga processen för uppdatering och återställning som stöds.

För PHP-appar som körs på en NAS kan du använda guiden för Docker-uppdateringar och arbetsflödet för verifiering av korrigeringar i körmiljön för att säkerställa att en godkänd källkodsändring faktiskt når tjänsten du ansvarar för.