Does AI Scan block a pull request from merging?

No. Its findings are advisory and cannot enforce merge requirements through rulesets.

Does AI Scan inspect the applications already running on my NAS?

No. It analyzes qualifying pull-request changes in GitHub repositories.

Does it run on fork or Dependabot pull requests?

GitHub documents that those pull requests are excluded.

Can AI Scan replace PHP runtime updates?

No. Update affected packages or application images through the relevant vendor-supported process.

GitHub AI-skanning förklarad: Säkerhetskontroller för PHP-, Shell- och Docker-projekt

Eva Wong

IceWhale author

Eva Wong är Teknisk skribent och den boende fixaren på ZimaSpace. En livslång nörd med en passion för hemma-labb och öppen källkod, hon specialiserar sig på att översätta komplexa tekniska koncept till tillgängliga, praktiska guider. Eva tror att självhosting ska vara roligt, inte skrämmande. Genom sina handledningar ger hon gemenskapen verktyg att avmystifiera hårdvaruinstallationer, från att bygga sin första NAS till att bemästra Docker-containrar.

GitHub AI Scan official announcement cover artwork

GitHub AI Scan lägger till säkerhetsfynd i kvalificerade pull requests, bland annat ändringar i PHP, Shell och Dockerfiles. Funktionen kan hjälpa till med granskning av kod och konfiguration kring appar för självhosting. Fynden är rådgivande: de underkänner inte kodskanningskontrollen och blir inte ett krav i en regeluppsättning som blockerar sammanslagningar.

Använd funktionen som ytterligare en signal vid granskning av kodförråd som du underhåller. Den inspekterar inte alla aktiva tjänster på din NAS, korrigerar inte en installerad PHP-körmiljö och bevisar inte att en container från tredje part är säker. Koppla ihop granskning av källkod med uppdateringar som stöds och verifiering av den körande applikationen.

Vad kontrollerar GitHub AI Scan?

AI Scan kompletterar CodeQL med stöd för utvalda språk och ramverk. GitHub beskriver en analys som baseras på pull requests, inte en fullständig genomsökning av kodförrådets eftersläpande ärenden. Fynd visas i pull requesten med en AI-etikett, så att de går att skilja från CodeQL-resultat.

För ett hemserverprojekt kan det här vara relevant för ett distributionsskript eller en Dockerfile som du faktiskt ändrar. Det ersätter inte kontrollen av leverantörens status för basavbildningen och det paketerade programmet.

Vilka luckor i arbetsflödet bör jag känna till?

Förväntning	Faktisk gräns att planera för
Granska varje bidrag	Pull requests från forkar och Dependabot undantas
Blockera osäkra sammanslagningar automatiskt	AI Scan-resultat är rådgivande
Skanna hela den aktiva NAS-enheten	Funktionen analyserar kvalificerade pull requests
Uppdatera alla beroenden	Uppdateringar från leverantörer och av paket hanteras separat
Bevisa att ett rent resultat är säkert	Fynd kan vara ofullständiga eller felaktiga

Betrakta frånvaron av fynd som ett begränsat underlag. En granskare behöver fortfarande ta hänsyn till den faktiska kodvägen och distributionsinställningarna.

Varför är detta användbart efter PHP-säkerhetsincidenten?

PHP-svaret belyser både risker i applikationskoden och underhåll av körmiljön. En skanner för pull requests kan hjälpa till att upptäcka riskfylld kod som du skriver; en sårbarhet i körmiljön kräver en lämplig uppdatering uppströms eller nedströms. Det här är relaterade ansvarsområden som kräver olika slags underlag.

guiden om programvarustacken och förklaringen av Patch the Planet hjälper dig att hitta den gränsen. Ett renare kodförråd ersätter inte automatiskt en berörd binär i produktion.

Hur bör en underhållsansvarig agera på ett fynd?

Läs den berörda kodvägen, kontrollera om de rapporterade villkoren gäller och granska eventuella föreslagna ändringar. Håll korrigeringen avgränsad. Testa det relevanta förväntade beteendet och bekräfta att en säkerhetskorrigering inte tar bort en kontroll som behövs eller förstör ett legitimt användningsfall.

Vår guide till säkerhetsmeddelanden och verifiering av korrigeringar tar upp det senare distributionssteget. Lagra återställningsfiler separat från kataloger som program kan skriva till.

Vad bör jag konfigurera först?

Kontrollera att arkivet är behörigt, att kodskanning är aktiverad, vilken AI Scan-inställning som gäller och vilken budget som ansvarar för faktureringen. Organisations- och företagspolicyer kan begränsa arkivinställningar. Börja med ett behörigt arkiv innan du aktiverar funktionen för fler.

Följ aktiveringsguiden för AI Scan. Om du redan använder CodeQL kan du läsa jämförelsen mellan AI Scan och CodeQL för att förstå varför kompletterande täckning inte innebär identiska regler för sammanslagning.