GitHubのAI Scan、CodeQL既定設定なしでもPR検査が可能に

何が発表されたか

GitHub は 2026年9月16日、コードスキャンの AI Scan について、プルリクエストの脆弱性検出に CodeQL の既定セットアップ（default setup）を必須としなくなったと発表した。これまで AI Scan は CodeQL の既定セットアップが構成されたリポジトリでのみ動作していたが、今後は構成の有無にかかわらず、対象となるリポジトリで実行される。

• 既に組織で AI Scan を有効にしている場合、追加の設定作業は不要
• CodeQL の既定セットアップが未構成のリポジトリでも、プルリクエストでの脆弱性検出が動作する
• 適用対象は github.com 上の組織所有リポジトリおよび個人リポジトリ
• 利用には GitHub Advanced Security の契約が必要
• 現時点ではパブリックプレビュー
• GitHub Enterprise Server は未対応

なお、コードスキャンおよび AI Scan 自体を、リポジトリ／組織／Enterprise のいずれかのレベルで有効化しておく必要がある点は変わらない。権限の階層や要件もこれまで通りである。

開発者への影響

前提条件だった CodeQL の既定セットアップが外れたことで、これまで対象外だったリポジトリにもカバー範囲が自動的に広がる。GitHub のアナウンスでも、既に AI Scan を有効にしている組織では、CodeQL 既定セットアップの構成状況にかかわらず対象リポジトリ全体でより広く実行されるとされている。

裏を返せば、設定を変えていないのにスキャン対象が増える可能性がある。プルリクエスト上に新しい指摘が現れるようになるため、レビュー運用やアラートの扱いを一度確認しておきたい。パブリックプレビュー段階である点、GitHub Enterprise Server では利用できない点にも注意が必要だ。