概要
GitHubは、従来のCodeQLによる静的解析をAI検知で補完することで、シェルスクリプトやTerraformなど幅広い環境の脆弱性をPR上で自動特定・修正可能にしました。
詳細内容
GitHubは、AI技術を駆使してアプリケーションセキュリティのカバー範囲を大幅に拡大することを発表しました。従来、GitHub Code Securityは精密なセマンティック解析を行うCodeQLを中核としてきましたが、現代のコードベースに含まれるシェルスクリプト、Infrastructure as Code (Terraform/HCL)、Dockerファイル、PHPなどの多岐にわたるエコシステムへの対応が課題でした。
今回のアップデートにより、CodeQLによる静的解析とAIベースの検知を組み合わせたハイブリッドモデルが導入されます。このシステムは、プルリクエスト（PR）のワークフロー内に直接統合されており、安全でないSQLクエリやコマンド、脆弱な暗号アルゴリズム、機密情報を露出させるインフラ設定などを自動的に検出します。
特筆すべきは、検出から修正までのスピードです。GitHub Copilot Autofixと連携することで、検出された脆弱性に対する修正案をAIが提示し、開発者はその場で内容を確認・適用できます。内部テストでは80%以上の開発者から肯定的なフィードバックを得ており、修正までの平均時間は従来の半分以下（約40分）に短縮されています。この機能は、2026年第2四半期初頭にパブリックプレビューが開始される予定です。