GitHub menambahkan cara baru untuk mengatur AI Scan secara terprogram. Dalam pembaruan yang dirilis 13 November 2026, organisasi dan administrator repositori bisa mengaktifkan atau mematikan pemindaian AI untuk seluruh repository lewat REST API. Fitur ini masih berstatus public preview, tetapi arahnya jelas: pengaturan keamanan tidak lagi harus dilakukan satu repo demi satu repo dari antarmuka GitHub.
Pengaturan baru itu bernama repository_scan. GitHub menambahkannya ke endpoint AI Scan yang sudah tersedia untuk organisasi dan repository. Pada level organisasi, administrator dapat memakai GET dan PATCH ke /orgs/{org}/code-scanning/ai-scan. Pada level repository, endpointnya berada di /repos/{owner}/{repo}/code-scanning/ai-scan. Nilainya bisa diubah menjadi enabled atau disabled, sehingga tim dapat memasukkan kebijakan AI Scan ke dalam skrip provisioning, template organisasi, atau sistem infrastructure as code yang sudah mereka gunakan.
AI Scan juga memiliki pengaturan pr_scan untuk pemindaian pull request. GitHub menyebut repository_scan bekerja dengan pola yang sama, tetapi cakupannya berbeda. Jika organisasi mematikan AI Scan untuk repository, repo-repo di bawahnya tidak dapat mengaktifkan fitur tersebut sendiri. Sebaliknya, ketika organisasi mengaktifkannya, repository akan mewarisi pengaturan itu dan masih bisa memilih untuk tidak menggunakannya secara individual. Perbedaan tingkat kontrol ini penting bagi organisasi yang ingin menetapkan baseline keamanan tanpa memaksa semua proyek memiliki konfigurasi yang identik.
Admin juga bisa mengubah pr_scan dan repository_scan dalam satu permintaan. GitHub menerapkan perilaku transaksional untuk kombinasi tersebut: bila salah satu perubahan ditolak, kedua perubahan tidak diterapkan. Ini mengurangi risiko konfigurasi setengah jadi, terutama ketika perubahan dikirim dari pipeline otomatis yang menganggap satu respons API sebagai tanda bahwa seluruh kebijakan sudah berhasil dipasang.
Ada satu batasan yang perlu diperhatikan. Mengaktifkan AI Scan untuk repository tidak langsung menjalankan pemindaian. Pengguna yang memiliki akses tulis masih harus memulai scan sesuai alur yang didukung GitHub, dan setiap pemindaian menggunakan kredit AI dari GitHub Code Security. Dengan kata lain, pengaturan lewat API mengubah kemampuan dan kebijakan fitur; ia bukan tombol pemicu untuk menjalankan analisis pada semua repository sekaligus. Tim perlu memasukkan pertimbangan biaya dan frekuensi pemindaian ke dalam otomasi mereka sendiri.
Ketersediaannya juga bergantung pada jenis repository dan paket keamanan. AI Scan tersedia untuk repository publik milik organisasi, serta repository privat atau internal yang menggunakan GitHub Code Security atau GitHub Advanced Security. Pemilik organisasi dan security manager dapat mengatur kebijakan organisasi. Administrator repository dapat memilih keluar pada tingkat repo ketika kebijakan tingkat atas mengizinkannya. GitHub Enterprise Server belum didukung dalam pembaruan ini.
Kebijakan enterprise dapat menjadi penghalang lain. Jika kebijakan enterprise tidak mengizinkan AI Scan, permintaan untuk mengaktifkan fitur akan mengembalikan HTTP 422 dan perubahan tidak diterapkan. Ini berarti pipeline konfigurasi perlu memperlakukan 422 sebagai kegagalan kebijakan yang harus ditinjau, bukan mencoba mengulang permintaan tanpa batas.
Bagi tim engineering, nilai terbesar pembaruan ini bukan sekadar endpoint baru. Pengaturan keamanan dapat disimpan bersama konfigurasi organisasi, ditinjau melalui pull request, lalu diterapkan secara konsisten ke banyak repository. Pendekatan itu memudahkan audit dan mengurangi ketergantungan pada perubahan manual di dashboard. Namun, otomasi tidak menggantikan keputusan tentang kapan pemindaian dijalankan, siapa yang menanggung kredit AI, atau repository mana yang memang cocok untuk dianalisis.
GitHub belum menjadikan AI Scan sebagai fitur yang sepenuhnya tanpa syarat. Status public preview, ketergantungan pada paket keamanan, kontrol enterprise, dan penggunaan kredit menunjukkan bahwa tim masih perlu menguji perilakunya dalam skala kecil. REST API membuat eksperimen dan rollout lebih rapi; ia tidak menghapus kebutuhan untuk mengukur hasil scan, biaya, dan dampaknya terhadap alur kerja developer.
Sumber https://github.blog/changelog/2026-11-13-manage-ai-scan-for-repositories-using-the-rest-api Dokumentasi API: https://docs.github.com/rest/code-scanning/code-scanning#update-the-ai-scan-setting-for-an-organization
Untuk penerapan yang aman, organisasi sebaiknya memulai dari kelompok repository yang jelas dan menyimpan respons API sebagai bagian dari log perubahan. Dengan begitu, perubahan kebijakan dapat dibandingkan dengan hasil pemindaian dan konsumsi kreditnya. Jika konfigurasi harus dikembalikan, nilai enabled atau disabled juga dapat dipulihkan lewat endpoint yang sama tanpa mengedit setiap repository secara manual.