GitHub macht AI Scan allgemein verfügbar und deckt ab, was CodeQL übersieht

GitHub hat AI Scan am 15. Oktober 2026 in die allgemeine Verfügbarkeit überführt. Das Werkzeug nutzt ein Sprachmodell, um Schwachstellen in Sprachen und Frameworks aufzuspüren, die CodeQL, die seit Langem etablierte statische Analyse-Engine der Plattform, nativ nicht abdeckt. Die Umstellung folgt auf eine im Juli gestartete öffentliche Vorschau und eine Lockerung der Voraussetzungen im September.

#Ein Scanner gegen die blinden Flecken von CodeQL

CodeQL bleibt das Referenzwerkzeug für die Sprachen, die es unterstützt, doch viele Repositories vermischen Anwendungscode mit Infrastruktur-, Deployment- oder Konfigurationsskripten, die klassische statische Analyse ignoriert. Genau diese Lücke soll AI Scan schließen: Es läuft automatisch bei Pull Requests und markiert potenzielle Schwachstellen in Dateien, die CodeQL unberührt lässt, ohne es auf dessen eigenem Terrain zu ersetzen.

#Die abgedeckten Sprachen und Frameworks

Die von GitHub genannte Liste umfasst PHP, Bash und Shell, Terraform (HCL), Dockerfiles, JSP für Java und Blazor für C#. Für ein Ökosystem wie PHP, bei dem ein großer Teil des Legacy-Codes modernen statischen Analysewerkzeugen entgeht, ist diese Abdeckung alles andere als eine Randnotiz.

#Was Teams in einem Pull Request sehen

Die Ergebnisse von AI Scan erscheinen neben denen von CodeQL, in den Tabs Conversation und Files changed, mit einer Kennzeichnung „AI“, die sie von klassischen Alerts unterscheidet. Jeder Fund kann eine Risikobeschreibung und einen Korrekturvorschlag enthalten. Die Aktivierung erfolgt über die AI-Scan-Einstellung des Repositories, die wiederum aktiviertes Code Scanning voraussetzt.

# AI-Scan-Status eines Repos über die GitHub-API prüfen
gh api \
  -H "Accept: application/vnd.github+json" \
  /repos/ORG/REPO/code-scanning/default-setup \
  --jq '.state, .query_suite'

# Öffentliche Repositories (persönlich oder organisationseigen) sind ohne Copilot-Lizenz berechtigt;
# private oder interne Repositories benötigen GitHub Code Security oder Advanced Security.

AI Scan blockiert nie einen Merge: Seine Funde bleiben rein informativ, anders als CodeQL-Alerts, die über ein Ruleset vor dem Merge verpflichtend gemacht werden können.

GitHubs Entscheidung, AI Scan rein informativ zu halten, unterscheidet sich deutlich vom Ansatz der Code-Scanning-Rulesets, die eine Qualitätsschwelle vor dem Merge durchsetzen sollen. Für Teams, die gewachsene PHP-Codebasen betreiben, das WordPress-Ökosystem eingeschlossen, kann das Aufspüren von Schwachstellen in Code, den übliche Hardening-Praktiken nicht immer vorab abdecken, eine echte Lücke schließen – solange es nicht mit einem blockierenden Sicherheitsnetz verwechselt wird.

#Warum diese Designentscheidung

Indem GitHub die Funde von AI Scan aus dem Merge-Pfad heraushält, begrenzt es das Risiko blockierender Falsch-Positiver, ein bekanntes Problem KI-gestützter Analysewerkzeuge. Der Kompromiss: Teams müssen diesen Fundstrom in ihre Review-Routine einbauen, neben den Kommandozeilenwerkzeugen, die bereits täglich für Linting, Dependency-Scanning oder Review-Unterstützung im Einsatz sind.

#Was man sich merken sollte

AI Scan erreicht allgemeine Verfügbarkeit mit klar umrissenem Auftrag: CodeQL bei Infrastruktur- und Konfigurationssprachen zu ergänzen, ohne je einen Merge zu blockieren. Die Abdeckung von PHP, Bash und Terraform betrifft direkt Teams, die gewachsene Web-Anwendungen neben ihrer Infrastructure as Code betreiben. Die Kosten in KI-Guthaben und das fehlende Scannen von Forks bleiben die beiden Punkte, die vor einem breiten Rollout zu prüfen sind.

Zum Weiterlesen: die offizielle Ankündigung im GitHub Changelog.