GitHub 的 pull request AI Scan 不再要求每个仓库先启用 CodeQL 默认配置。组织或企业已开启该功能后，同一权限层级下的所有合格仓库都会获得覆盖。该功能仍是 github.com 上面向组织仓库与个人仓库的 public preview。它需要 GitHub Advanced Security，且不支持 GitHub Enterprise Server。
GitHub 将 pull request AI Scan 推向 GA
2026-09-16已核实动态TRIAL
GitHub 将 pull request AI Scan 推向 GA。它检查 CodeQL 当前未覆盖的语言和框架改动，包括 PHP、Shell、Terraform HCL、Dockerfile、JSP 与 Blazor。结果只是建议，不能让 code scanning check 失败或阻止合并；fork 与 Dependabot 的 pull request 不会扫描。公开仓库无需 Copilot 许可，私有和内部组织仓库需要 GitHub Code Security 或 Advanced Security，并消耗 Code Security AI Credits。
官方 · 参考材料AI Scan for pull requests generally available参考材料github.blog · 2026 09 16 code scanning ai scan no longer requires codeql default setup
本文来自既有扫描档案。迁移保留原判断，不代表在迁移时重新核验。
对你意味着什么
对 AppSec 团队来说，这项能力现在有正式可用范围、计费和策略边界。GA 不代表模型检测具有确定性或已经独立验证，推广时仍要量误报、漏报、AI Credits 和审查负担。
证据与关联材料
GitHub 将 AI Scan 推向 GA；结果不能阻断合并，公开仓库可用，私有仓库需 Code Security 并消耗 AI Credits。
后续变化
AI Scan 从 public preview 进入 GA，并明确计费与合并限制
技术细节与六维评分
| 状态 | GA |
|---|---|
| 范围 | github.com 上的组织仓库与个人仓库 |
| 移除的要求 | 每个仓库的 CodeQL 默认配置 |
| 仍需条件 | GitHub Advanced Security，且仓库、组织或企业策略已启用 code scanning 与 AI Scan |
| 不支持 | GitHub Enterprise Server |
| 覆盖 | 当前 CodeQL 语言和框架覆盖之外的 pull request 变更 |
| 强制能力 | 仅建议；不能让检查失败或阻止合并 |
| 排除项 | fork 与 Dependabot pull request |
| 计费 | 消耗 Code Security AI Credits；公开仓库可用；私有/内部组织仓库需 Code Security 或 Advanced Security |
技术影响 3
工程价值 4
采用信号 4
成熟度 2
验证成本 2
风险 3