GitHub Copilot 代码扫描警报自动修复功能正式可用

这是什么功能？谁发布的？

2026年10月15日，GitHub 宣布 Agentic autofix for code scanning alerts 正式可用。这是 GitHub 开发的一项 GitHub Copilot 功能，属于闭源服务，不是开源项目。它专门用来修复代码扫描发现的安全警报，能像一位小助手一样，自动探索代码、提出修复方案、重新运行 CodeQL 验证，最后打开一个草稿拉取请求供你审查。

打个比方：你写完作业后，有一个小助手帮你从头到尾检查一遍，发现错题就改好，再重新算一遍确认没错，最后把改好的作业本交给你看。这个功能就是帮程序员检查代码里的“错题”，并自动改好。

它是怎么工作的？

当你把一个代码扫描警报分配给 Copilot 时，它会按步骤工作：首先探索代码库中相关的文件，然后生成一个修复方案，接着重新运行 CodeQL 来验证修复是否真的关闭了警报。如果一次没成功，它会继续尝试，直到确认有效，最后打开一个草稿拉取请求。

这个拉取请求里会包含修复摘要、为什么能关闭警报的解释，以及 Copilot 做过的验证步骤。你可以像批改作业一样，在拉取请求上评论，让 Copilot 继续修改，或者在仓库的 Agents 标签页里与它互动。

怎么使用这个功能？

启用后，Agentic autofix 会替换掉单个代码扫描警报上免费的“Generate Fix”选项，变成一个“Assign to Copilot”按钮。你可以从仓库默认分支上的任何代码扫描警报中，把警报分配给 Copilot。

你也可以在仓库或安全活动的警报列表中，一次选择最多 25 个警报，让 Copilot 在单个拉取请求中一起修复。此外，还可以通过 REST API 设置 assignees 为 [“copilot-swe-agent[bot]”] 来使用。注意，它只支持默认分支上的警报，只在拉取请求或其他分支上发现的警报不能分配。

谁能用？需要什么条件？

Agentic autofix 面向 GitHub Code Security 和 GitHub Advanced Security 客户，运行在 GitHub Enterprise Cloud 上，包括带数据驻留的 GitHub Enterprise Cloud。企业管理员需要先在 Advanced Security policies 中启用新的“Agentic autofix”策略。

策略启用后，组织或仓库管理员可以在组织或仓库的 Code Security 设置中打开它。使用还需要定义 Copilot 计费方式。换句话说，这不是个人免费功能，而是企业级安全服务的一部分。

费用怎么算？

Agentic autofix 会消耗 Code Security 预算中的 AI Credits 和 GitHub Actions 分钟数。AI Credit 的使用量会显示在企业账单和许可的“AI usage”部分，产品名称为“Advanced Security”。你还可以为 Code Security AI credits 设置 SKU 级别的预算。

这意味着使用这个功能会产生费用，具体消耗量原文没有说明。企业需要提前规划预算，并监控 AI 使用情况，避免超支。

有什么限制和注意事项？

首先，它只支持仓库默认分支上的代码扫描警报，其他分支或仅在拉取请求中发现的警报无法分配。其次，它需要企业管理员启用策略，并且需要 Copilot 计费方式。第三，它目前只面向 GitHub Enterprise Cloud 客户，不适用于 GitHub Enterprise Server 或个人用户。

另外，原文没有说明它支持哪些编程语言、AI Credits 的具体消耗量、是否支持所有 CodeQL 查询类型。使用时建议先在小范围测试，确认效果和成本后再推广。

适合谁用？怎么核验效果？

这个功能适合使用 GitHub Code Security 或 GitHub Advanced Security 的企业开发团队，尤其是需要批量修复安全警报的团队。它可以帮助开发者节省手动修复的时间，但最终仍需人工审查拉取请求，确保修复正确。

核验效果的方法：查看 Copilot 打开的草稿拉取请求，检查修复摘要和验证步骤；确认 CodeQL 重新运行后警报是否关闭；在 Agents 标签页中跟踪会话；通过企业账单的“AI usage”部分核对 AI Credits 消耗。如果发现问题，可以在拉取请求上评论让 Copilot 继续修改。