GitHub generaliza AI Scan para cubrir lo que CodeQL no detecta

GitHub llevó AI Scan a disponibilidad general el 15 de octubre de 2026. La herramienta usa un modelo de lenguaje para detectar vulnerabilidades en lenguajes y frameworks que CodeQL, el motor de análisis estático histórico de la plataforma, todavía no cubre de forma nativa. El cambio llega tras una vista previa pública abierta en julio y una flexibilización de los requisitos en septiembre.

#Un detector pensado para cubrir los puntos ciegos de CodeQL

CodeQL sigue siendo la herramienta de referencia para los lenguajes que soporta, pero muchos repositorios mezclan código de aplicación con scripts de infraestructura, despliegue o configuración que el análisis estático clásico ignora. AI Scan viene a llenar ese espacio: se ejecuta automáticamente en las pull requests y señala posibles fallos en archivos que CodeQL deja de lado, sin sustituirlo en su propio terreno.

#Los lenguajes y frameworks cubiertos

La lista anunciada por GitHub incluye PHP, Bash y Shell, Terraform (HCL), los Dockerfiles, JSP para Java y Blazor para C#. Para un ecosistema como el de PHP, donde buena parte del código heredado escapa a los analizadores estáticos modernos, la cobertura está lejos de ser anecdótica.

#Lo que ven los equipos en una pull request

Los resultados de AI Scan aparecen junto a los de CodeQL, en las pestañas Conversation y Files changed, con una etiqueta «AI» que los distingue de las alertas clásicas. Cada hallazgo puede incluir una explicación del riesgo y una propuesta de corrección. Activarlo requiere habilitar el ajuste de AI Scan del repositorio, que a su vez depende de tener activado el code scanning.

# Comprobar el estado de AI Scan en un repositorio con la API de GitHub
gh api \
  -H "Accept: application/vnd.github+json" \
  /repos/ORG/REPO/code-scanning/default-setup \
  --jq '.state, .query_suite'

# Los repositorios públicos (personales u organizacionales) son elegibles sin licencia de Copilot;
# los repositorios privados o internos requieren GitHub Code Security o Advanced Security.

AI Scan nunca bloquea una fusión: sus hallazgos siguen siendo informativos, a diferencia de las alertas de CodeQL, que pueden exigirse antes de la fusión mediante un ruleset.

La decisión de GitHub de mantener AI Scan como algo puramente informativo contrasta con el enfoque de los rulesets de code scanning, pensados para imponer un umbral de calidad antes de la fusión. Para los equipos que mantienen bases de código PHP heredadas, el ecosistema de WordPress incluido, detectar vulnerabilidades en código que las prácticas de hardening habituales no siempre cubren de antemano puede cerrar una brecha real, siempre que no se confunda con una red de seguridad bloqueante.

#Por qué esta decisión de diseño

Al dejar los hallazgos de AI Scan fuera del camino de fusión, GitHub limita el riesgo de falsos positivos bloqueantes, un problema clásico de las herramientas de análisis asistidas por IA. La contrapartida es que los equipos deben integrar este flujo de hallazgos en su rutina de revisión, junto con las herramientas de línea de comandos que ya usan a diario para linting, escaneo de dependencias o asistencia en la revisión.

#Lo que hay que recordar

AI Scan llega a disponibilidad general con un alcance bien delimitado: complementar a CodeQL en lenguajes de infraestructura y configuración, sin bloquear nunca una fusión. La cobertura de PHP, Bash y Terraform interesa directamente a los equipos que operan aplicaciones web heredadas junto a su infraestructura como código. El coste en créditos de IA y la ausencia de escaneo en los forks siguen siendo los dos puntos a revisar antes de generalizar su uso.

Para profundizar: el anuncio oficial en el GitHub Changelog.