AI Scan 面向 pull request API 开放公开预览

事件核心：发生了什么

2026 年 9 月 10 日，GitHub 在 Changelog 中宣布 AI Scan for pull request 的 API 进入公开预览。此前这项能力主要通过 GitHub 界面配置，现在可以通过两个 REST 端点管理：/orgs/{org}/code-scanning/ai-scan 和 /repos/{owner}/{repo}/code-scanning/ai-scan，分别对应组织级和仓库级的读取与更新。

层级关系上，组织设置决定整个组织范围内是否允许 pull request 扫描运行，仓库设置则用来对单个仓库开或关。需要注意的是，如果组织级已经关闭，仓库级设置无法覆盖这一禁用状态。也就是说，组织仍然握有最终的总开关。

该公开预览目前只在 github.com 上提供，面向 GitHub Advanced Security 客户，GitHub Enterprise Server 不在本次支持范围内。

为什么重要

这类更新的关键不在检测能力本身，而在“可批量配置”。AI 代码安全扫描如果只能靠人工在 UI 里逐仓库开启，对拥有成百上千个仓库的团队来说几乎不可落地。API 化之后，AI 安全检测可以像其他 CI/CD 环节一样被纳入自动化流程，更容易和企业已有的代码扫描策略、权限体系、合规检查打通。

从行业角度看，AI 生成代码的占比在上升，pull request 正在成为安全左移的关键卡点。GitHub 把 AI 检测能力下沉到 PR 环节，并用 API 放开管理权限，本质是在强化其代码托管平台的粘性：安全能力越深地嵌入开发流程，团队迁移成本越高。目前公开信息显示，这是 GitHub Advanced Security 的商业化能力之一，也延续了 GitHub 把 AI 能力逐步产品化、平台化的路线。

对用户/开发者/创作者的影响

对使用 GitHub Advanced Security 的企业开发者来说，最直接的变化是可以写脚本批量盘点哪些仓库开启了 AI Scan，也可以在新建仓库时按策略自动配置，减少人工核对。安全团队则能把 AI 扫描状态纳入日常审计和报表。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

对开源维护者和个人开发者，这项能力目前仍有门槛：一是需要 Advanced Security 订阅，二是仅限 github.com。所以短期内的实际受众主要是企业团队，而不是普通个人仓库。对创作者和依赖 GitHub 做分发的团队而言，值得留意的是这一能力是否会影响 PR 合并门槛和审查节奏。

值得关注的后续

一是 API 是否会从公开预览转为正式可用，以及组织级策略能否支持更细粒度的白名单或例外规则。二是 GitHub Enterprise Server 的支持时间表，这直接决定自托管客户能否用上。三是检测精度和误报率，如果 AI Scan 在 PR 中频繁误报，团队可能更倾向于按仓库选择性开启，而不是全组织铺开。

来源：GitHub Changelog