GitHub 用 AI 查代码漏洞正式开放：会自动挡住不安全的合并吗？

开发者在提交合并请求时，往往先看测试是否通过，再看安全扫描有没有报警。GitHub 10 月 15 日宣布，AI Scan for pull requests正式开放，重点发现 CodeQL 当前覆盖不足的语言和文件类型中的问题，包括 PHP、Shell、Terraform 配置和 Dockerfile 等。它把安全提示放在代码审查旁边，但不会自动替团队决定能否合并。

它在什么条件下运行

仓库需启用代码扫描，且有效的 AI Scan 设置处于开启状态，扫描才会随合并请求自动运行。结果会与 CodeQL 提示一起出现在会话和文件变更页，并标出 AI 来源。提示可带风险解释和修复建议。GitHub 明确说这些发现是建议性质：不会让代码扫描检查失败，也不能通过规则集阻止合并。来自 fork 或 Dependabot 的合并请求也不在本次扫描范围。

这个边界很重要。若团队把“没有阻断”误解为“没有安全问题”，就可能跳过人工检查。AI 建议也可能误报，修复代码更可能改变业务逻辑，仍需开发者复现、测试和审核。

免费与收费怎么区分

公开仓库可以使用；组织的私有和内部仓库需要 GitHub Code Security 或 Advanced Security。使用 AI Scan 不要求 Copilot 许可证，但扫描会消耗 Code Security AI Credits。官方提供账单展示和预算设置入口，正式在团队里启用前应先看使用量和额度。

一个稳妥试法是选少量仓库，记录扫描发现、人工确认率、修复耗时和月度消耗，再决定是否扩大。AI Scan 补充的是审查视角，不能代替测试、依赖检查、人工代码评审和上线后的监控。