GitHub、脆弱性を自律修復する「Agentic autofix」を正式提供開始　コードベース探索から検証、PR作成まで自動化

要点

• 米GitHubは2026年10月15日、コードスキャンの検出結果をAIが自動修復する機能「Agentic autofix」の一般提供を開始した。

• 関連ファイルを横断的に調査して修正案を作り、静的解析ツールCodeQLで安全性を再検証した上で下書きプルリクエストを作成する。

• リポジトリのデフォルトブランチ上のアラートが対象で、最大25件のアラートをまとめて1つのプルリクエストで修復することもできる。

• GitHub Enterprise Cloudでセキュリティ製品を利用する顧客向けに提供され、AIクレジットとGitHub Actions時間を消費する。

• 米GitHubは2026年10月15日、コードスキャン機能（プログラムのソースコードを解析して脆弱性を検知する仕組み）で検出されたセキュリティアラートをAIエージェントが自律的に修正する「Agentic autofix」の一般提供（GA）を開始したと発表した。開発者の作業プロセスを再現するようにコードベース全体を探索し、修正の提案から検証、プルリクエストの作成までを自動で進める機能だという。本機能は、データレジデンシー（特定の地域内にデータを保持する運用要件）に対応した環境を含む「GitHub Enterprise Cloud」において、GitHub Code SecurityまたはGitHub Advanced Securityを契約している組織に向けて提供される。

コードベース探索からCodeQL検証までをAIエージェントが自律実行

発表によると、Agentic autofixは従来の修正支援機能と異なり、複数の関連ファイルにまたがる変更を自動で処理できる点が特徴とされている。開発者がコードスキャンのアラートをCopilotに割り当てる（アサインする）と、AIエージェントが自律的な修復プロセスを開始する。

具体的な処理フローとして、まずコードベース内の関連するファイルを幅広く調査し、適切な修正案を組み立てる。続いて、GitHubの静的解析エンジンである「CodeQL」（ソースコードを解析して脆弱性パターンを検出する技術）を再実行し、提案した修正によって該当のアラートが確実に解消されているかどうかを検証する。もし検証結果が不十分であれば修正の反復試行を行い、解決を確認できた段階で、人間のレビューを受けられる状態に整えた下書きのプルリクエスト（変更内容をリポジトリへ統合するために提示するレビュー依頼）を作成するという。

生成されるプルリクエストには、実施した修正内容の要約、その修正によってなぜアラートが解消されるのかという理由、そして動作を確認するためにCopilotが実施した検証ステップの詳細が明記される。レビュー担当者は内容を確認するだけでなく、プルリクエストへのコメント入力やリポジトリ内の「Agents」タブを通じた対話によって、Copilotに追加の修正指示を出すことも可能となっている。

個別修復から最大25件の一括修復、API経由の実行まで対応

Agentic autofixが有効化されると、各コードスキャンアラート画面で従来提供されていた無償の「Generate Fix」オプションが「Assign to Copilot」ボタンへと変更される。

本機能の適用範囲はリポジトリのデフォルトブランチ（メインの開発系統となる標準ブランチ）に限定されており、プルリクエスト上や他の作業ブランチで検出されたアラートをCopilotへ割り当てることはできない。

利用方法としては、単一のアラート画面から割り当てる操作に加え、リポジトリのセキュリティアラート一覧やセキュリティキャンペーンの管理画面から、最大25件までのアラートを一括選択して処理を指示できる。これにより、複数のアラートを解消する修正を1つのプルリクエストに集約して作成させることが可能だという。

さらに、Webインターフェースからの操作だけでなく、REST API（外部プログラムからサービスを操作するための標準的な接続規約）にも対応している。「Update a Code Scanning Alert REST API」を利用し、担当者（assignees）の指定項目に「copilot-swe-agent[bot]」を設定することで、プログラム経由でも修正エージェントの呼び出しが行える仕様となっている。

導入に必要な管理者設定と利用権限

Agentic autofixを利用するには、段階的な管理設定が必要とされる。まず、エンタープライズ管理者が「Advanced Security policies」の設定項目内にある新しい「Agentic autofix」ポリシーを有効化しなければならない。

エンタープライズ全体でポリシーが有効化された後、各組織（Organization）またはリポジトリの管理者が、それぞれの管理画面にある「Code Security」設定から本機能をオンに切り替えることで、開発者が利用できる状態になる。加えて、機能の実行にあたってはCopilotの請求方法（billing method）が事前に登録されている必要があると案内されている。

AIクレジットとGitHub Actions時間を消費する従量課金体系

Agentic autofixの実行にはコンピュートリソースが必要となるため、Code Security予算の「AIクレジット（AI Credits）」と「GitHub Actionsの実行時間（分）」が消費される。

消費されたAIクレジットの利用状況は、エンタープライズの請求およびライセンス管理画面にある「AI usage」セクションに、「Advanced Security」製品の利用分として計上・表示される。また、予期せぬ支出を防ぐため、Code SecurityのAIクレジットに対して製品単位（SKUレベル）で利用予算の上限を設定する機能も用意されているという。