GitHub Agentic autofix：正式提供、警告の修正と検証を統合

1. 修正提案に再検査を組み合わせる

エージェントによる自動修正では、Copilotがリポジトリの関連ファイルを調べて修正案を作り、コード検査ツールのCodeQLを再実行して該当する警告が解消されたか確認する。必要に応じて修正を繰り返し、変更を反映する前にレビューを求めるドラフトのプルリクエストを開く。

このリクエストには、修正内容の要約、その修正で警告が解消される理由、確認で実施した手順が含まれる。変更されたコードだけでなく、修正の根拠と検査内容も受け取る仕組みだ。

修正リクエストの準備後も、プルリクエストにコメントしたり、リポジトリのエージェントタブから該当する作業セッションに追加の変更を指示したりできる。最初の修正案を同じ作業フロー内で調整できる。

2. 警告画面とAPIから割り当てる

リポジトリのデフォルトブランチにある警告を、個別にCopilotへ割り当てられる。デフォルトブランチは、リポジトリで基準とするコードの分岐だ。リポジトリやセキュリティキャンペーンの警告一覧では、最大25件を選び、1つのプルリクエストでまとめて修正するよう任せられる。

自動化するには、コードスキャン警告を更新するREST APIを利用する。割り当て先を示すassigneesフィールドに以下の値を指定する。原文に記載された値そのもので、完全なリクエスト本文ではない。

["copilot-swe-agent[bot]"]

対象範囲はデフォルトブランチのコードスキャン警告だ。プルリクエストや別のブランチでのみ見つかった警告は割り当てられない。そのため、警告一覧を一括処理したいチームも、まずこの範囲に該当するか確認する必要がある。

3. 企業ポリシーと支払い設定が必要

提供環境はGitHub Enterprise Cloudで、データ保存地域を指定する環境も含まれる。

この環境でGitHub Code SecurityまたはGitHub Advanced Securityを利用する顧客が対象だ。クラウド環境とセキュリティ製品の利用状況を併せて確認する必要がある。

アクセスの許可と実際の有効化は別の手順だ。まず企業管理者が高度なセキュリティのポリシーで、新しい自動修正ポリシーを許可する必要がある。その後、組織またはリポジトリの管理者が、該当範囲のコードセキュリティ設定で機能を有効にする。Copilotの支払い方法も設定されている必要がある。

機能を有効にすると、個別の警告画面にあった従来の無料の修正案生成オプションが、Copilotへの割り当てボタンに置き換わる。従来の選択肢に新しいボタンが加わるのではなく、その警告の修正を開始する経路が変わる。

4. 反復作業に代わり使用量とレビューを管理する

開発チームは関連ファイルの探索と修正、再検査をエージェントに任せられる。その代わり、コードセキュリティ予算のAIクレジットとGitHub Actionsの実行時間を消費する。無料の修正案生成と同じ費用構造と捉えず、レビュー準備の作業を減らす代わりに使用量に応じた費用を負担する選択として判断する必要がある。

クレジット使用量は、企業の請求・ライセンス画面のAI使用量領域に、高度なセキュリティ製品の項目として表示される。コードセキュリティのクレジットには製品単位の予算も設定できる。管理者は機能を有効にする権限だけでなく、支出管理の経路も確認できる。

警告当たりのクレジット消費量、処理時間、修正成功率は示されていない。そのため、費用や時間の削減効果を数値で断定する根拠はない。

再検査で確認する対象は、該当する警告の解消だ。結果はレビュー用のドラフトであり、修正内容を受け入れるか判断する人の役割は残る。

今回の変化の核心は修正と再検査をまとめて委任できる点にあり、導入判断には対象範囲と使用量に応じた費用、人によるレビューを併せて考慮する必要がある。