一句话看懂：GitHub 在代码扫描功能中引入了 AI 驱动的安全检测，能直接在拉取请求（PR）上展示漏洞发现，覆盖 CodeQL 原生不支持的编程语言和框架，帮助开发者在合并代码前发现盲区中的安全问题。
事件核心：发生了什么
根据 GitHub Changelog 的公告，GitHub 将 AI 安全检测引擎集成到代码扫描功能中。当开发者提交或更新拉取请求时，AI 引擎会自动运行，将检测到的安全问题直接显示在 PR 的评论区。这些发现会标注“AI”标签，与 CodeQL 结果区分开，且不会阻止合并，仅作为参考信息。该功能目前已进入公开预览阶段，要求仓库启用 GitHub Code Security（即 GitHub Advanced Security）及 CodeQL 默认设置，并由企业层面允许后方可使用。计费方面，使用期间会消耗组织内的 AI 信用额度（Credits），且需要拥有 GitHub Copilot 许可。
为什么重要
长期以来，GitHub 的代码安全扫描依赖 CodeQL 引擎，虽然分析能力强大，但其语言支持有限，主要覆盖常见语言如 Python、Java、JavaScript 等。而许多现代项目采用 Go、Rust、Kotlin 或特定框架，导致这些部分缺乏原生安全检测。此次引入 AI 检测引擎，相当于用大模型补上了 CodeQL 的“语言覆盖盲区”，不需要等待官方更新 CodeQL 查询库即可对新语言和框架实施扫描。这一进展意味着 AI 正在从辅助写代码走向辅助修代码，把安全左移理念推向了更多技术栈。对于 GitHub 而言，也强化了其 Copilot 生态对安全场景的价值闭环——用 AI 写代码，再用 AI 检测代码中的潜在缺陷。
对用户/开发者/创作者的影响
对日常使用 GitHub 的开发者来说，最实际的变化是：之前因为语言不支持而无法自动检测的安全漏洞，现在将能在合并 PR 前被 AI“嗅出”。特别是在使用 TypeScript 深层类型、Rust 的 unsafe 区域、Go 的并发模式时，AI 的发现可能比人工 code review 更早暴露风险。对于企业安全团队，该功能降低了维护额外安全扫描工具的成本，但要留意计费：AI 信用额度并非无限，频繁的 PR 提交可能加速额度消耗，需要提前规划预算。此外，由于结果不阻塞合并，建议团队将其与强制 CodeQL 结果相结合的策略一起使用，避免 AI 误报被忽略。独立开发者或小团队若没有 Copilot 许可，暂时无法使用该功能。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
第一，AI 检测的准确率和误报率将会是开发者生态最关注的指标，GitHub 是否会提供类似 CodeQL 的规则定制或反馈机制值得观察。第二，公开预览结束后，该功能的定价模式是否调整、AI 信用额度与 Copilot 许可的关系是否会变化，直接影响企业采购决策。第三，竞争对手如 GitLab 或自托管 CI/CD 工具是否会跟进类似的大模型代码安全扫描方案，将决定这个方向是变成平台标配还是差异功能。最后，AI 检测结果的质量能否支撑其成为 CI/CD 强制门禁，是度量该功能成熟度的关键信号。
