GitHub 于 2026 年 7 月 14 日宣布，Code Scanning 开始在 Pull Request 内显示 AI-powered security detections。这项 public preview 的目的，是把漏洞检测延伸到 CodeQL 目前未原生支持的部分语言和 framework，减少 repository 里的安全盲点。
新的 finding 会直接出现在 Pull Request，让开发者在 merge 前于原本的 review 流程处理问题。GitHub 表示，AI 产生的结果会标记为 AI，方便团队区分这些结果与 CodeQL 的原生分析。这个标记对后续 triage 很重要，因为它让团队知道不同分析引擎的证据来源并不相同。
在执行方式上，AI security detections 会在 Pull Request 打开或更新时自动运行，结果会边分析边返回，不必等待所有分析来源完成。GitHub 同时说明，这些 finding 属于 informational，不会阻止 Pull Request merge。它更像一层扩大覆盖范围的提示，而不是可以单独作为 release gate 的 deterministic check。
启用条件也有限制。企业管理员需要先允许该功能，组织再为使用 GitHub Code Security 的 repository 开启它，而且 repository 必须使用 CodeQL default setup。功能目前只在 github.com 向 GitHub Advanced Security 客户提供 public preview；使用时需要 Copilot license，并会消耗 organization 的 AI Credits。
这种设计有一个实际好处：安全讯号可以更早进入开发者正在工作的地方，而不是等到独立的安全扫描报告才被看到。不过，AI detection 不应取代 CodeQL、Dependabot、secret scanning 或人工 review。团队仍然需要确认 finding 的上下文、测试修复方案，并把严重程度、false positive 和 AI Credits 成本纳入安全流程。
对于 AI-assisted development 来说，这次更新反映出 security loop 正逐步靠近 code generation loop。当 agent 帮忙生成或修改代码时，检测结果也在同一个 Pull Request 界面出现，团队就可以把「生成、检查、修复、批准」视为一条可治理的流程；但最后的批准责任仍然应该留在人身上。
