GitHub、Copilotアプリ内でコードの脆弱性をその場で検証できる「/security-review」を提供開始

要点

• GitHubは、Copilotアプリ上で開発中のコード変更のセキュリティ脆弱性を検証できる「/security-review」のパブリックプレビュー（正式リリース前の試用版）を開始した。
• 検出された脆弱性を深刻度や信頼度でスコア化し、アプリから離れずに修正を適用・再検証できる具体的な提案を提示する。
• インジェクションやクロスサイトスクリプティングなど、一般的かつ影響の大きい脆弱性の検出に最適化されている。
• GitHub Code Scanningなどを補完し、ローカル環境における軽量かつオンデマンドなチェック機能として機能する。
• プレビュー期間中は、Copilot Free、Pro、Business、Enterpriseの全ユーザーが追加料金なしで利用可能である。

• 米GitHubは2026年7月14日（現地時間）、GitHub Copilotアプリ内において、開発中のコード変更に含まれるセキュリティ脆弱性を直接検証できる新しいスラッシュコマンド「/security-review」のパブリックプレビューを開始したと発表した。この機能により、これまでCopilot CLI（コマンドラインツール）で提供されていたAIによる脆弱性スキャン機能が、開発者が日常的に使用するコーディングワークフローの中へ統合される。

開発フローを妨げないセキュリティ検証

提供が開始された /security-review は、チャット欄から呼び出せるスラッシュコマンド（チャット入力欄で特定の機能を呼び出す命令）である。ユーザーがCopilotアプリ内でこのコマンドを実行すると、作業中のソースコードに対してAIによるセキュリティ分析が自動で実行される。

スキャン結果は、問題の重要度を示す「深刻度（severity）」と判定の確かさを示す「信頼度（confidence）」の指標でスコア化され、開発者は最優先で解決すべき問題を一目で判断できる。

さらに、エラーの指摘だけでなく、その場で適用できる具体的な修正案も提示する。開発者はCopilotアプリの画面から離れることなく修正を適用し、再度検証（リベリファイ）することが可能である。コードがメインリポジトリに統合される前に、重要な問題を優先して修正できる。

検出対象となる主要な脆弱性

このセキュリティスキャンは、開発現場で頻繁に発生しやすく、かつシステムに大きな影響を与える代表的な脆弱性のクラスを検知するように調整されている。

具体的には、プログラムを誤作動させる「インジェクション欠陥」や、Webページに悪意あるスクリプトを埋め込む「クロスサイトスクリプティング（XSS）」のほか、「不安全なデータ処理」、「パストラバーサル（不正なパス指定によるファイルアクセス）」、「脆弱な暗号技術」といった、一般的かつ高リスクな脆弱性パターンが対象となる。

既存のセキュリティ機能との相互補完

新機能 /security-review は、既存のGitHubセキュリティ検証ツールを置き換えるものではなく、これらを補完するものとして位置付けられている。

GitHubはこれまで、静的解析を行う「GitHub Code Scanning」や、ライブラリの脆弱性を検知する「Dependabot」、機密情報の漏洩を防ぐ「Secret Scanning」などを提供してきた。従来のツールがリポジトリ送信後に実行されるのに対し、今回のコマンドはローカル開発中にその場で実行できる。ローカルで行う軽量かつオンデマンドなチェック機能として機能するという。

利用方法と対象ユーザー

本機能を試すには、Copilotアプリで作業中のプロジェクトを開き、コード変更を行った上でチャットウィンドウから /security-review を実行する。変更範囲を対象としたスキャンがその場で開始される。

このパブリックプレビュー版コマンドは、個人向けの「Copilot Free」「Copilot Pro」から、組織向けの「Copilot Business」「Copilot Enterprise」のユーザーに至るまで、すべてのプランで追加料金なしで利用可能である。

GitHubは機能向上に向け、コミュニティ内のディスカッションページにて開発者からのフィードバックを募っている。