2026.10.18

GitHubが、AIでプログラムの弱点を見つけて直す機能を一般提供。AnthropicのAPIキーの公開も、初期設定で止めるように

キラ

記事内に商品プロモーションを含む場合があります

・GitHubが2026年10月15日、AIでプログラムの変更の中から安全上の弱点を見つける「AI Scan」と、見つかった弱点をAIが直す「agentic autofix」を、一般向けの正式な機能にした

・AI Scanは、これまでの検査の仕組みが対応していなかったPHPやシェルの命令文、クラウドの設定ファイルなども調べる。公開のリポジトリなら追加の契約なしで使える

・10月13日には、AnthropicのAPIキー（AIを使うための鍵）をリポジトリに入れようとすると、初期設定で止める仕組みも加えた

GitHubは2026年10月15日、AIを使ってプログラムの安全上の弱点を見つけ、直す機能を、一般向けの正式な機能として提供し始めました。

GitHubは、プログラムを置いて、チームで直しながら作るためのサービスです。プログラムの弱点を見つけるには、これまで専門の検査の仕組みや、詳しい人の目が必要でした。今回の機能は、その作業の一部をAIが受け持つものです。

この記事では、GitHubの発表で分かったことを整理したうえで、ふだんの仕事がどう変わるのかを考えます。

AI Scan：変更の中から弱点を探し、直し方の案も出す

まずは、弱点を見つける「AI Scan」です。

GitHubの発表によると、AI Scanは次のように働きます。

・プログラムの変更を取り込む前の確認（プルリクエスト）の中で、自動で弱点を探す

・これまでの検査の仕組み（CodeQL）が対応していなかった、PHP、シェルの命令文、クラウドの設定ファイル、Dockerの設定ファイルなども調べる

・見つけた弱点には「AI」の印がつき、何が危ないかの説明と、直し方の案が添えられる

・結果は参考の扱いで、変更の取り込みを止めることはない

項目	内容
公開のリポジトリ	会社のものも個人のものも使える
非公開のリポジトリ	GitHubの安全のための有料の機能（Code Security または Advanced Security）が必要
Copilotの契約	要らない
料金	安全の機能用のAIの利用分（AI Credits）を使う

agentic autofix：AIが弱点を直し、確かめてから提案する

次に、弱点を直す「agentic autofix」です。

見つかった弱点をAIのCopilotに任せると、次の手順で直します。

・関係するファイルを調べる

・直し方を作る

・検査をやり直して、本当に直ったかを確かめる。直っていなければ、やり直す

・直した内容と、確かめた手順の説明をつけて、人が確認するための下書きを出す

一度に最大25件の弱点をまとめて直すこともできます。こちらは、企業向けのGitHub Enterprise Cloudで、安全のための有料の機能を契約している利用者向けで、管理者が使えるように設定する必要があります。

AnthropicのAPIキーを入れようとすると、初期設定で止める

ここで、10月13日の変更も見ておきます。

GitHubには、パスワードや鍵のような秘密の情報が、うっかりリポジトリに入るのを見つける仕組み（secret scanning）があります。

・AnthropicのAPIキー（AIのClaudeを使うための鍵）を、新たに見つけられるようになった

・秘密の情報の検査を有効にしているリポジトリでは、無料の公開のリポジトリも含めて、AnthropicのAPIキーが入った変更を、初期設定で止める

APIキーは、他人に知られると、その人の料金でAIを使われてしまうおそれがあります。

仕事はどう変わるか：プログラムの安全の確認は「AIが探し、人が決める」形になる

ここからは、公式の発表をもとにした僕の見方です。

今回の機能で変わるのは、プログラムの安全の「確かめ方」だと考えています。

これまで、プログラムの弱点を見つけるのは、専門の知識を持つ人の仕事でした。小さなチームや1人で作っているサービスでは、そこまで手が回らないことも少なくありません。AI Scanは、変更のたびに自動で弱点を探し、agentic autofixは、直し方を作って確かめるところまで受け持ちます。人に残るのは、AIが出した案を見て、取り込むかどうかを決める仕事です。

国内のサイトにAIエージェントの攻撃が来ていることも報告されています（AIエージェントの攻撃の記事）。攻める側がAIを使うなら、守る側もAIで確かめる回数を増やす、という流れです。

AIに手伝ってもらいながら、自分のお店のサイトや業務の道具を作っている個人事業主にとっても、公開のリポジトリならAI Scanを無料で使えるので、弱点の確認の入口として試す価値がありそうです。

使う前に、確かめておきたいこともあります。

・非公開のリポジトリでAI Scanを使うには、GitHubの安全のための有料の機能が必要

・agentic autofixは、企業向けの契約と管理者の設定が必要

・AI Scanの結果は参考の扱い。見落としもあるので、AIが「問題なし」と言ってもすべてが安全とはかぎらない

・APIキーは、リポジトリに入れず、環境変数などの別の場所で管理する

まとめ：GitHubがAIで弱点を探して直す機能を一般提供。APIキーの公開も初期設定で止める

GitHubは、AIでプログラムの弱点を見つけるAI Scanと、AIが弱点を直すagentic autofixを、正式な機能にしました。AnthropicのAPIキーをリポジトリに入れようとすると、初期設定で止める仕組みも加えています。

プログラムの安全の確認が、AIが探して直し方を出し、人が決める形に変わり始めた、というのがいちばん大きな変化です。

GitHubでプログラムを管理している人は、秘密の情報の検査が有効になっているかを、まず確かめておくのがよさそうです。

出典

・GitHub「AI Scan for pull requests generally available」（2026年10月15日） https://github.blog/changelog/2026-10-15-ai-scan-for-pull-requests-generally-available/

・GitHub「Agentic autofix for code scanning alerts general availability」（2026年10月15日） https://github.blog/changelog/2026-10-15-agentic-autofix-for-code-scanning-alerts-general-availability/

・GitHub「Secret scanning blocks Anthropic keys by default, adds Salesforce」（2026年10月13日） https://github.blog/changelog/2026-10-13-secret-scanning-blocks-anthropic-keys-by-default-adds-salesforce/

#GitHub #セキュリティ

ABOUT ME