GitHub、PR向けAI Scan管理APIを公開

プルリクエスト向けAI ScanのAPI管理機能が公開

米GitHubは2026年9月10日、コードスキャン機能「GitHub code scanning（リポジトリ内のコード脆弱性を自動検出するセキュリティ機能）」に含まれる「AI Scan for pull requests」をプログラムから一括設定できる新しいREST APIエンドポイントのパブリックプレビューを開始した。これまでGitHubのWeb画面から手動で行っていた設定作業を自動化し、大規模な開発組織におけるセキュリティ機能の段階的なロールアウトを支援する。

OrganizationとRepositoryの2層制御によるREST API仕様

公開されたREST APIは、Organization（組織）レベルおよび個別Repository（リポジトリ）レベルの双方でAI Scanの有効状態の参照と更新に対応している。提供される主なエンドポイントは以下の通りである。

• ​組織単位のエンドポイント​: /orgs/{org}/code-scanning/ai-scan
• ​リポジトリ単位のエンドポイント​: /repos/{owner}/{repo}/code-scanning/ai-scan

Organizationレベルの設定では組織配下全体でプルリクエストスキャンを実行可能にするかを統括し、Repositoryレベルの設定では特定のリポジトリごとに有効・無効を柔軟に切り替えることができる。重要な仕様として、Organizationレベルで機能が無効化されている場合、個別のRepository設定側で上書きして有効化することはできない階層的なセキュリティ統制モデルが採用されている。

開発組織への影響と利用要件（独自価値要素：日本の読者への影響／未確認事項）

日本の企業や開発組織でも、DevSecOpsの推進に伴いリポジトリ作成やセキュリティポリシー適用の自動化（Infrastructure as Codeやプロビジョニングツールの活用）が一般化している。 今回のREST API提供により、以下のような実務上のメリットと留意点が生じる。

• ​大量リポジトリへの自動適用​: 多数のリポジトリを抱える組織では、新規リポジトリの作成イベントにフックして自動的にAI Scanを有効化したり、パイロット運用する一部のチームのリポジトリ群だけにスクリプトで一括適用したりすることが容易になる。
• ​提供対象と未対応環境​: 本パブリックプレビューは、クラウド版のgithub.comにおいて「GitHub Advanced Security（GHAS）」を契約している顧客向けに提供される。オンプレミス環境向けの「GitHub Enterprise Server（GHES）」は現時点のリリースではサポートされておらず、オンプレミス運用を行う国内エンタープライズへの提供時期は今後の公式発表を待つ必要がある。

セキュリティ自動化とAI開発支援の統合加速

プルリクエストの段階でAIを用いて潜在的な脆弱性やセキュリティリスクを検出する試みは、シフトレフト（開発初期段階でのセキュリティ担保）の要となる。今回のAPI公開は、AIセキュリティツールの導入障壁を下げ、全社規模での標準化やCI/CDパイプラインとの親和性を高める重要な施策である。セキュリティ管理者は自社のガバナンス要件に応じた自動化スクリプトの整備を進めることで、より安全な開発環境を効率的に維持できるようになる。

引用元：The GitHub Blog