GitHub、PR上でAIによるコード脆弱性検出を開始

GitHubは、ソフトウェア開発プラットフォーム「GitHub.com」において、AIを活用してソースコードのセキュリティ問題を検出する新機能のパブリックプレビューを開始しました。この機能は、プルリクエスト（PR）の画面上でAIによる自動スキャン結果をリアルタイムに直接確認できるものです。

従来のCodeQLを補完するAIコードスキャンの仕組み

GitHubはこれまで、静的コード解析ツール「CodeQL（GitHubが提供する、コードのセキュリティ脆弱性やバグを検索・分析するための静的解析エンジン）」を用いたセキュリティスキャンを提供してきましたが、一部のプログラミング言語や特殊なフレームワークにおいてはCodeQLによる解析ルールが未対応という課題がありました。

今回のAIスキャン機能により、以下の利点が開発者にもたらされます。

• ​対応範囲の拡張​: CodeQLでカバーしきれなかったマイナーな言語やフレームワークに対しても、AIモデルの高度なパターン分析を用いて脆弱性を検出します。
• ​ワークフローへの統合​: スキャン結果はプルリクエスト上に直接ラベル（警告）として表示され、開発者はコードをメインブランチにマージ（統合）する前の段階で、レビューの一環としてリアルタイムに修正対応が可能です。
• ​非同期による自動実行​: スキャンはPRの作成または変更時にバックグラウンドで自動実行されるため、開発者は静的解析ツールのように長時間ビルドを待つ必要がありません。また、AIの警告は情報提供の位置づけであり、マージ自体をプログラム側でハードブロックすることはありません。

利用要件とプレビュー期間中のコスト仕様

本機能は、エンタープライズ向けの「​GitHub Advanced Security（GitHub Code Security）​​」が有効化されており、かつCodeQLのデフォルト自動設定がオンになっているリポジトリまたは組織で利用することができます。

パブリックプレビュー期間中は、利用にあたって GitHub Copilot ライセンスに加えて、モデル実行のための「AIクレジット」が必要になります。AIスキャンが実際に実行された際にのみクレジットが消費される従量課金型となっているため、日本の開発チームが検証目的で導入する際には、実行回数とコストのモニタリングに留意する必要があります。

出典：CodeZine / GitHub Changelog