El 15 de octubre de 2026, GitHub anunció la disponibilidad general del autofix agéntico para las alertas de code scanning. Antes limitada a una sugerencia puntual mediante el botón «Generate Fix», la corrección de vulnerabilidades detectadas por CodeQL puede ahora delegarse de principio a fin en un agente de Copilot, que explora el código, propone una corrección, la revalida y después abre él mismo una pull request.
Del botón «Generate Fix» al agente autónomo
La corrección automática de vulnerabilidades no es nueva en GitHub: Copilot Autofix para CodeQL está disponible de forma general en repositorios públicos desde 2024. Lo que cambia con el autofix agéntico es el bucle completo. El agente explora los archivos implicados del repositorio como lo haría un desarrollador, genera una corrección, vuelve a ejecutar CodeQL para confirmar que la alerta se cierra de verdad, itera si es necesario y después abre una pull request en borrador que resume la corrección, explica por qué cierra la alerta y enumera los pasos de validación seguidos.
Cómo se desarrolla una corrección
En una alerta individual, un botón «Assign to Copilot» sustituye a la opción gratuita «Generate Fix» cuando la función está activada. Solo funciona en alertas presentes en la rama por defecto del repositorio: las alertas que existen únicamente en una pull request u otra rama no pueden asignarse al agente. Otra novedad: ahora pueden seleccionarse hasta 25 alertas a la vez, desde la lista de alertas de seguridad o una campaña de seguridad, para corregirlas en una sola pull request.
| Criterio | Generate Fix | Autofix agéntico |
|---|---|---|
| Coste | Gratuito | AI Credits + minutos de GitHub Actions |
| Alcance | Una sugerencia, una alerta | Hasta 25 alertas en una sola pull request |
| Validación | Sin revalidación automática | Vuelve a ejecutar CodeQL hasta cerrar la alerta |
| Iteración | No | Sí, mediante comentario en la pull request o la pestaña Agents |
Una vez abierta la pull request, se pueden seguir pidiendo ajustes comentando directamente en ella, o retomando la sesión desde la pestaña «Agents» del repositorio. La asignación también puede hacerse mediante la API REST, lo que abre la puerta a integrarlo en campañas de remediación automatizadas:
PATCH /repos/{owner}/{repo}/code-scanning/alerts/{alert_number}
Authorization: Bearer <token>
Content-Type: application/json
{
"assignees": ["copilot-swe-agent[bot]"]
}El agente revalida cada corrección volviendo a ejecutar CodeQL antes de abrir su pull request, en lugar de conformarse con una sugerencia sin verificar.
Quién puede acceder
La función está reservada a los clientes de GitHub Code Security o GitHub Advanced Security en GitHub Enterprise Cloud, incluida la residencia de datos. Un administrador de empresa debe activar primero la política «Agentic autofix» en las políticas de Advanced Security, y después un administrador de organización o de repositorio la activa en su nivel. También debe configurarse un método de facturación de Copilot.
Una pieza más para los agentes en producción
Esta generalización se inscribe en una tendencia más amplia de delegar tareas de mantenimiento a agentes capaces de iterar hacia un resultado verificable. La diferencia aquí está en qué cuenta como éxito: a diferencia de un contenido editorial, una alerta de CodeQL ofrece una señal binaria (cerrada o no) sobre la que el agente puede iterar automáticamente, lo que explica por qué la seguridad del código es un terreno de adopción temprana para este tipo de automatización, un patrón tratado con más detalle en nuestra guía de IA para desarrolladores web.
Para quedarse con esto
- El autofix agéntico pasa de la vista previa pública (julio de 2026) a la disponibilidad general el 15 de octubre de 2026.
- El agente explora el código, lo corrige, revalida con CodeQL y abre una pull request en borrador, sobre la base de un bucle verificado en lugar de una sugerencia puntual.
- Pueden tratarse hasta 25 alertas a la vez, pero solo en la rama por defecto.
- El acceso requiere GitHub Advanced Security, Enterprise Cloud, y una activación en dos niveles (empresa y después organización o repositorio).
- El uso se factura en AI Credits, aparte de la opción gratuita «Generate Fix», que sigue existiendo.
La disponibilidad general no debería hacer olvidar que la pull request es una propuesta, no una corrección validada. Una revisión humana antes de fusionar sigue teniendo sentido, sobre todo en código que toca la autenticación o la gestión de permisos, donde un parche sintácticamente limpio puede esconder una regresión funcional que CodeQL no detecta. — Simon Janvier
Para profundizar: el anuncio oficial en el changelog de GitHub.
