GitHub membuat AI Scan untuk pull request tersedia secara umum pada 15 Oktober 2026. Fitur ini ditujukan untuk menemukan kerentanan pada perubahan kode yang belum tercakup oleh CodeQL, terutama pada bahasa dan framework seperti PHP, Shell atau Bash, Terraform, Dockerfile, JSP untuk Java, dan Blazor untuk C#.

AI Scan tidak menggantikan CodeQL. GitHub menempatkannya sebagai lapisan tambahan di dalam code scanning. Ketika code scanning dan pengaturan AI Scan sudah aktif, pemindaian berjalan pada pull request. Temuannya muncul di tab Conversation dan Files changed bersama hasil CodeQL, tetapi diberi penanda “AI” agar asal pemeriksaannya terlihat.

Setiap temuan dapat memuat penjelasan tentang risiko keamanan dan saran perbaikan otomatis. GitHub tidak menjanjikan bahwa semua temuan akan selalu benar atau bahwa setiap temuan memiliki autofix. Posisi produknya lebih dekat ke pemeriksaan tambahan yang membantu reviewer menemukan hal yang mungkin terlewat, bukan pengganti review manusia.

Mengapa GitHub menambahkan pemeriksa kedua

CodeQL bekerja dengan menganalisis kode menggunakan query keamanan. Kelebihannya ada pada pendekatan yang terstruktur dan dapat ditelusuri, tetapi cakupannya bergantung pada bahasa, framework, dan jenis analisis yang tersedia. AI Scan mencoba mengisi sebagian ruang yang belum dijangkau CodeQL dengan mesin pemindaian berbasis AI.

Perbedaan cakupan ini penting di repositori yang tidak hanya berisi JavaScript, Java, C#, atau bahasa yang umum dipakai dalam aturan CodeQL. File konfigurasi, skrip deployment, Dockerfile, dan kode aplikasi berbasis PHP tetap dapat membawa risiko, meski sering tidak mendapat perhatian yang sama seperti kode inti aplikasi.

GitHub menyebut beberapa contoh dukungan, termasuk PHP, Shell atau Bash, Terraform dalam format HCL, Dockerfile, JSP untuk Java, dan Blazor untuk C#. Daftar tersebut bukan berarti semua pola kerentanan pada bahasa itu otomatis terdeteksi. Ia hanya menjelaskan area yang ingin dijangkau oleh pemeriksaan AI Scan ketika CodeQL belum menyediakan cakupan yang sama.

Hasilnya belum menjadi penghalang merge

Batas paling penting dari rilis ini ada pada status temuannya. AI Scan bersifat advisory. Temuan AI Scan tidak menggagalkan code scanning check dan tidak dapat dipakai untuk memblokir penggabungan pull request melalui persyaratan ruleset.

Dengan kata lain, sebuah tim dapat melihat peringatan, membaca penjelasannya, lalu memperbaiki kode atau menolaknya. Namun, administrator tidak dapat memperlakukan temuan AI Scan seperti pemeriksaan wajib yang harus bersih sebelum merge. GitHub masih membedakan antara menemukan potensi masalah dan memberi sinyal yang cukup kuat untuk menghentikan alur pengiriman kode.

Pemisahan itu masuk akal untuk fitur yang memakai model AI. False positive dapat mengganggu review, sementara false negative tetap mungkin terjadi. Menjadikan hasil AI sebagai penghalang otomatis sebelum tersedia bukti dan kontrol yang memadai bisa membuat tim mengejar peringatan yang tidak relevan atau mencari cara untuk mematikan pemeriksaan.

Untuk saat ini, AI Scan lebih cocok dipakai sebagai masukan bagi reviewer. Tim keamanan dapat melihat pola temuan, memeriksa apakah masalah benar-benar ada, lalu memindahkan perbaikan yang sudah tervalidasi ke jalur pengujian dan kebijakan mereka sendiri.

Siapa yang bisa menggunakannya

AI Scan tersedia untuk repositori publik yang dimiliki organisasi maupun akun personal. Untuk repositori privat dan internal milik organisasi, GitHub mensyaratkan GitHub Code Security atau GitHub Advanced Security. Lisensi GitHub Copilot tidak diperlukan untuk mengaktifkan fitur ini.

Namun, tersedia bukan berarti tanpa biaya. AI Scan untuk pull request mengonsumsi Code Security AI Credits. Pemakaian kredit ditampilkan dalam bagian AI usage pada billing dan licensing enterprise sebagai produk Advanced Security. GitHub juga menyediakan anggaran pada tingkat SKU untuk membantu organisasi membatasi penggunaan berbasis konsumsi.

GitHub mengecualikan pull request dari fork dan pull request yang dibuat oleh Dependabot. Pengecualian ini perlu diperhatikan karena dua jenis pull request tersebut sering berada di luar kendali langsung pemilik repositori. Tanpa batas itu, pemindaian berbasis AI dapat menerima kode dari konteks yang berbeda atau memperbesar permukaan penggunaan layanan.

Lapisan tambahan, bukan stempel aman

Rilis AI Scan memperlihatkan arah yang cukup jelas: GitHub ingin membawa pemeriksaan berbasis model ke tahap paling dekat dengan perubahan kode. Reviewer bisa mendapat sinyal sebelum perubahan masuk ke branch utama, sementara administrator dapat memantau metrik AI Scan di security overview.

Tetapi label AI tetap perlu dibaca sebagai informasi tentang cara temuan dibuat, bukan sebagai tingkat kepastian. Dokumentasi GitHub memisahkan metrik AI Scan dari metrik CodeQL dan menunjukkan apakah temuan memiliki saran autofix. Itu memberi organisasi cara untuk mengukur hasilnya, tanpa menyamakan mesin pemindai yang berbeda.

Praktik yang aman tetap sama: anggap temuan sebagai hipotesis yang perlu diperiksa, jalankan pengujian yang relevan, dan jangan memasukkan perubahan hasil saran otomatis ke branch utama tanpa review. AI Scan bisa memperlebar jaring pemeriksaan, tetapi keputusan bahwa sebuah kerentanan nyata dan sudah tertangani masih berada di tangan tim yang memelihara kode.