GitHub Copilot 应用上线安全扩展：在编辑器内解释、修复代码扫描告警

事件核心：发生了什么

这次发布的主体是 GitHub Copilot 应用中的 GitHub security extension，目前处于 public preview。安装后，只要仓库已启用代码扫描且用户有告警查看权限，扩展就会列出全部未关闭告警，按严重程度排序，并支持搜索与过滤。打开单条告警可查看详情和受影响代码，需要更多上下文时可跳转 github.com 的完整告警页。

用户可以选中一条或多条告警，让 Copilot 执行 Explain 或 Fix。官方说明，修复只落在本地工作副本，不会自动 commit 或 push，便于先审阅、再推送。扩展还会显示告警已关联的 PR，提示是否已有人处理；不打算修的告警可直接忽略，若组织启用了委托忽略流程，则会转为提交审批。此外，可对当前改动运行 /security-review，在提 PR 前发现新问题，并在代码变动后收到重跑提示。

为什么重要

代码扫描工具长期存在的痛点是“发现容易、处理费劲”：告警在网页端，代码在编辑器里，中间的上下文切换会拖慢修复节奏。把告警列表、代码上下文、AI 解释与修复建议放进同一界面，是把安全左移从流程口号落到日常操作层的一步。对 Copilot 而言，这也是从补全和对话走向接入具体开发工作流的尝试，安全告警成为一个可被 Agent 调用的工具场景。

克制地看，这是一次产品整合，而不是安全能力本身的跃升。Copilot 给出的修复仍需要开发者判断，扩展的价值在于降低定位和初稿成本。

对用户/开发者/创作者的影响

对使用代码扫描的团队，最直接的变化是排障路径缩短：从按严重程度筛选、查看详情到让 AI 生成修复草案，都在本地完成。个人开发者也可安装扩展并运行 /security-review；Copilot Business 和 Copilot Enterprise 需管理员启用 Copilot 应用策略，企业还可用托管设置控制插件安装范围。私有仓库要使用这些能力，需要 GitHub Code Security。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

需要留意成本边界：Explain、Fix 和 /security-review 会消耗 AI 额度，而浏览和忽略告警不消耗。另外，扩展目前支持 github.com 和带数据驻留的 GitHub Enterprise Cloud，不支持 GitHub Enterprise Server，混合部署的团队要确认自己是否在覆盖范围内。

值得关注的后续

一是公开预览期间，Copilot 生成的修复建议在实际仓库中的准确率和误报抑制效果，目前公开信息显示官方未给出量化数据；二是与 CodeQL 等扫描能力的配合深度，以及委托忽略流程在企业中的落地情况；三是 GitHub Enterprise Server 的支持时间表，以及是否会出现竞品在同类 IDE 内推出告警修复功能。

来源：GitHub Changelog