GitHub、CodeQL不要のAIスキャン提供開始

GitHubは2026年9月16日、プルリクエストに対する脆弱性検査機能「AI Scan（AIを活用してコードの脆弱性を自動検出するセキュリティ機能）」の適用要件を緩和し、CodeQL（GitHubが提供する意味論的な静的コード解析エンジン）のデフォルトセットアップが構成されていないリポジトリでも動作可能にしたと発表しました。GitHub Advanced Security（GHAS）の利用組織を対象に、github.com上でパブリックプレビューとして提供を開始しています。

CodeQL前提を撤廃し適格リポジトリ全体へスキャンを拡大

これまでGitHubのコードスキャニングにおけるAI Scanは、リポジトリ側でCodeQLのデフォルトセットアップが完了している環境に限定して提供されていました。今回の更新により、CodeQLの事前構成が行われていないリポジトリであっても、プルリクエスト作成時にAIベースの脆弱性検出が自動的に実行されるようになります。

管理権限や設定の階層構造は従来を踏襲しており、新たな設定作業は発生しません。

• ​管理レベルの有効化​: リポジトリ、組織（Organization）、またはEnterpriseの各階層でのCode scanningおよびAI Scanの有効化設定は引き続き必要です。
• ​即時適用の仕組み​: 組織レベルですでにAI Scanを有効化している管理者の場合、追加作業なしで配下の適格なリポジトリ全体へ解析対象が拡大されます。
• ​提供対象​: github.com上の組織所有リポジトリおよび個人所有リポジトリが対象です。なお、オンプレミス版のGitHub Enterprise Server（GHES）は今回のプレビューリリースでは非対応となっています。

独自価値要素：導入運用の差分整理とCI/CD負荷への影響

従来のCodeQLデフォルトセットアップと、今回のAI Scan単独運用の違いを整理します。

項目	従来のCodeQLデフォルトセットアップ連携	新たなAI Scan単独運用
​事前セットアップ​	リポジトリごとのCodeQL解析環境の構成が必須	組織レベルの有効化のみで追加設定不要
​解析対象​	CodeQL対応言語かつビルド構成が通るコードベース	CodeQL未設定のリポジトリ上のプルリクエスト
CI実行リソース​	リポジトリ側のアクション実行環境（Actions runner）を消費	バックエンドのAI処理パイプラインで自動実行
​主な検出特性​	厳密なデータフロー解析やシンタックスツリー解析	AIモデルによるパターン認識と文脈を踏まえた脆弱性検出

開発現場への実務的影響

多くの開発組織において、大規模なモノレポや多様な言語が混在するリポジトリでは、CodeQLのビルド設定やコンパイル依存関係の解決が導入の障壁となっていました。今回の変更により、CodeQLのセットアップが追いついていない新規プロジェクトや軽量スクリプトのリポジトリでも、プルリクエスト作成直後からセキュリティチェックの恩恵を受けられるようになります。

未確認事項と今後の展望

• ​未確認事項​: 今回の発表ではAI Scanが対応する具体的なプログラミング言語の範囲や検出精度に関する更新数値、およびGitHub Enterprise Server（GHES）への正式提供スケジュールは明示されていません。
• ​今後の展望（編集部注）​: 従来の静的解析ツール（SAST）は誤検知の多さや環境構築の手間が課題とされてきましたが、GitHubはAI技術を活用することで「導入の摩擦を極小化する」セキュリティ戦略を加速させています。今後はCodeQLによる厳密なシンボル解析と、生成AIによる柔軟なコード理解を組み合わせたハイブリッドな脆弱性検知が、ソフトウェア開発ライフサイクルの標準装備になるとみられます。

引用元：The GitHub Blog