GitHub 於 2026 年 7 月 14 日宣布，Copilot app 開始提供 "/security-review" 公開預覽。開發者可以在仍然處理中的 project changes 上執行一次按需安全檢查，不用離開 Copilot 工作環境，也不用等到 pull request 完成後才發現問題。
這個 command 會分析目前的 workstream changes，回傳按 severity 和 confidence 評分的 high-confidence findings，並提供可以套用及重新驗證的修正建議。GitHub 表示，結果會以 focused、prioritised view 呈現，讓開發者先處理最需要在 code 落地前修正的項目。
公開預覽涵蓋多種常見而高影響的漏洞類型，包括 injection flaws、cross-site scripting、insecure data handling、path traversal 和 weak cryptography。這些類型並非只存在於傳統 Web app；當 AI agent 可以讀取檔案、呼叫工具或產生程式碼時，任何未驗證輸入都可能成為後續操作的入口。
GitHub 將 "/security-review" 定位為現有安全工具的補充，而不是取代 CodeQL、Dependabot 或 secret scanning。它更像是開發期間的 lightweight、on-demand check：開發者正在改 code 時先做一次快速檢查，修正後再留在同一個工作流程內驗證。這種位置很適合 shift-left，但也不應被誤解為完整的 release security gate。
對 AI-assisted development 來說，這次更新的意義在於 security review 開始變成 agent interface 的一部分。開發者不只叫 Copilot 生成 code，也可以要求它對剛剛產生或修改的內容提出風險判斷。不過，AI finding 仍然需要由工程師確認上下文、判斷 false positive，並配合 repository 的測試、權限和 deployment policy。
GitHub 表示，"/security-review" 在 public preview 期間提供給 Copilot Free、Pro、Business 和 Enterprise 用戶。這會降低團隊在早期發現問題的門檻，但企業仍然要先決定哪些檔案、資料和安全結果可以交給 cloud-based agent 處理，以及哪些高敏感變更需要額外審批。
更大的趨勢是，AI coding tools 正由「幫手寫 code」走向「參與 code quality 和 security loop」。如果這些檢查能夠穩定地進入日常開發習慣，安全 review 就不必只在最後一刻集中進行；但要建立信任，團隊仍要把 AI 建議和 deterministic scanners、automated tests 以及人工批准點放在同一條 pipeline 裡。
