AI Scan : le ticket du 15 dit disponible, celui du 13 dit encore aperçu

Trois tickets sont punaisés sur la même vitre, et ils n'ont pas le même verbe. Le plus récent dit que le scan est disponible. Celui d'avant-hier dit encore que la vue d'ensemble est un aperçu. Le troisième, daté du même jour que le premier, ne se contente pas d'annoter : il ouvre une pull request, et il relance CodeQL avant. Si tu lis « l'IA de GitHub est en disponibilité générale », tu n'as pas encore dit lequel des trois tickets tu as en main.

Le 15 octobre 2026, le changelog titre AI Scan for pull requests generally available. Le même jour, un autre billet titre Agentic autofix for code scanning alerts general availability. Deux jours plus tôt, le 13 octobre, un troisième billet, classé Improvement et pas Release, parle des métriques d'AI Scan dans la vue d'ensemble de sécurité, et sa dernière phrase dit public preview.

Le ticket du scan annote, et il ne bloque pas la fusion

Le billet du 15 dit qu'AI Scan complète CodeQL en cherchant des vulnérabilités dans les changements d'une pull request, pour des langages et des frameworks que CodeQL ne couvre pas pour l'instant. La liste imprimée : PHP, Shell/Bash, la configuration Terraform (HCL), les Dockerfiles, JSP pour Java, Blazor pour C#, et plus. « And more » est dans la phrase. Je ne ferme pas la liste.

Le scan tourne automatiquement sur les pull requests quand le code scanning est activé et que le réglage effectif d'AI Scan du dépôt l'est aussi. Les findings apparaissent à côté des résultats CodeQL, sur les onglets Conversation et Files changed, avec un indicateur « AI ». Un finding peut inclure une explication du risque et un autofix suggéré. « Can » est dans la phrase. « A suggested autofix » aussi. Ce n'est pas encore le nom de l'autre billet.

Puis la phrase qui décide du bouton : les findings d'AI Scan sont consultatifs. Ils ne font pas échouer le contrôle de code scanning, et ils ne peuvent pas bloquer la fusion d'une pull request par les exigences d'un ruleset. Le scan ne tourne pas sur les pull requests venues d'un fork, ni sur celles créées par Dependabot.

Côté qui peut l'avoir : les dépôts publics appartenant à une organisation ou à un compte personnel. Pour les dépôts privés et internes appartenant à une organisation, il faut GitHub Code Security ou GitHub Advanced Security. Une licence GitHub Copilot n'est pas requise. La facturation : AI Scan consomme des Code Security AI Credits. L'usage s'affiche dans la section « AI usage » de la facturation d'entreprise, comme le produit « Advanced Security ». On peut poser des budgets au niveau du SKU pour ces crédits.

Le ticket du 13 est encore un aperçu, et ce n'est pas le même objet

Le billet du 13 ne dit pas que le scan passe en disponibilité générale. Il dit que les administrateurs d'organisation et d'entreprise peuvent maintenant observer l'impact d'AI Scan pour les pull requests, dans la vue d'ensemble. Les métriques : combien de findings ont été générés, combien ont été résolus, le taux de remédiation, quels dépôts en ont généré, les tendances sur la période choisie, et combien de fois les développeurs ont appliqué des suggestions d'autofix.

La page qui s'appelait « CodeQL pull requests » s'appelle maintenant « Code scanning on pull requests ». Elle a deux onglets, CodeQL et AI Scan. L'onglet AI Scan montre le total des findings, et combien incluent ou n'incluent pas une suggestion d'autofix. Les métriques de l'ancienne page sont sous l'onglet CodeQL.

La phrase de statut, elle, n'a pas le verbe du 15. « This public preview » est disponible sur github.com, y compris GitHub Enterprise Cloud, pour les clients qui ont GitHub Code Security ou GitHub Advanced Security. GitHub Enterprise Server n'est pas pris en charge pour cette version. Le billet ne parle pas des comptes personnels. Il ne dit pas qu'une licence Copilot est inutile. Il ne dit pas que les findings sont consultatifs. Je ne lui prête pas les phrases du 15, et je ne lis pas le 15 comme une phrase qui aurait retiré le mot aperçu de la vue d'ensemble. Ce mot est sur l'autre ticket.

L'autre ticket du 15 ouvre une pull request, et il nomme Copilot

Le second billet du 15 dit que l'autofix agentique pour les alertes de code scanning est généralement disponible. Il remédie en traversant le dépôt comme le ferait un développeur : il explore les fichiers pertinents, propose un correctif, et relance CodeQL pour confirmer que le correctif ferme l'alerte, avant d'ouvrir une pull request pour relecture.

Le mode d'emploi : tu assignes une alerte de code scanning à Copilot. Il explore, génère un correctif, le valide en relançant CodeQL, itère s'il faut, puis ouvre une pull request brouillon. La pull request contient un résumé du correctif, pourquoi il ferme l'alerte, et les étapes de validation. Quand elle est prête, on peut demander d'autres changements en commentant, ou via l'onglet Agents du dépôt.

Quand c'est activé, cet autofix remplace l'option gratuite Generate Fix sur une alerte individuelle par un bouton Assign to Copilot. On peut l'utiliser depuis une alerte sur la branche par défaut, ou depuis la liste d'alertes du dépôt ou d'une campagne, en en sélectionnant jusqu'à 25 pour une seule pull request. L'API REST d'une alerte accepte assignees à ["copilot-swe-agent[bot]"]. Les alertes détectées seulement sur une pull request ou sur une autre branche ne peuvent pas être assignées. Ce n'est pas la phrase du scan sur les forks et Dependabot. C'est une autre exclusion, sur un autre ticket.

L'accès : un administrateur d'entreprise active la politique « Agentic autofix » dans les politiques Advanced Security. Ensuite, un administrateur d'organisation ou de dépôt l'allume dans les réglages Code Security. L'accès demande aussi qu'une méthode de facturation Copilot soit définie. Le scan, sur son ticket, disait qu'une licence Copilot n'est pas requise. Ici, une méthode de facturation Copilot est dans la phrase. Je ne les additionne pas.

La facturation de ce ticket-là : des crédits AI du budget Code Security, et des minutes GitHub Actions. L'affichage, lui, retombe dans la même vitrine : section « AI usage », produit « Advanced Security ». Le scan parlait de Code Security AI Credits. Celui-ci ajoute les minutes Actions. Deux lignes de caisse, un même nom de produit sur l'écran.

✍️ À toi : le dépôt que tu as vraiment sous les yeux, public, privé, ou venu d'un fork, et si le bouton devant toi annote la pull request ou s'il l'ouvre. Les trois tickets sont sur la vitre. Ton dépôt n'en déclenche pas forcément plus d'un.

Le 15 octobre, le ticket du scan dit disponibilité générale, une liste de langages qui finit par « et plus », des findings consultatifs, et pas de blocage de fusion. Le ticket du 13, sur les métriques, dit encore aperçu public, et il ne parle pas des comptes personnels. Le second ticket du 15 ouvre une pull request brouillon après avoir relancé CodeQL, remplace Generate Fix, et demande une méthode de facturation Copilot. Trois tickets. Le mot « disponible » n'est pas sur les trois.