Le 15 octobre 2026, GitHub a annoncé la disponibilité générale de l’autofix agentique pour les alertes de code scanning. Jusqu’ici limité à une suggestion ponctuelle via le bouton « Generate Fix », le traitement des vulnérabilités détectées par CodeQL peut désormais être confié de bout en bout à un agent Copilot, qui explore le code, propose un correctif, le revalide puis ouvre lui-même une pull request.
Du bouton « Generate Fix » à l’agent autonome
La correction automatique de vulnérabilités n’est pas nouvelle chez GitHub : Copilot Autofix pour CodeQL est généralement disponible sur les dépôts publics depuis 2024. Ce que change l’autofix agentique, c’est la boucle complète. L’agent explore les fichiers concernés du dépôt comme le ferait un développeur, génère un correctif, relance CodeQL pour vérifier que l’alerte est bien close, itère si nécessaire, puis ouvre une pull request en mode brouillon qui résume le correctif, explique pourquoi il ferme l’alerte et liste les étapes de validation suivies.
Le déroulé d’une correction
Sur une alerte individuelle, un bouton « Assign to Copilot » remplace l’option gratuite « Generate Fix » lorsque la fonctionnalité est activée. Il n’est utilisable que sur les alertes présentes sur la branche par défaut du dépôt : celles qui n’existent que sur une pull request ou une autre branche ne peuvent pas être assignées à l’agent. Autre nouveauté : jusqu’à 25 alertes peuvent être sélectionnées ensemble, depuis la liste des alertes de sécurité ou une campagne de sécurité, pour être corrigées dans une seule pull request.
| Critère | Generate Fix | Autofix agentique |
|---|---|---|
| Coût | Gratuit | AI Credits + minutes GitHub Actions |
| Portée | Une suggestion, une alerte | Jusqu’à 25 alertes en une pull request |
| Validation | Aucune revalidation automatique | Relance CodeQL jusqu’à fermeture de l’alerte |
| Itération | Non | Oui, par commentaire sur la pull request ou dans l’onglet Agents |
Une fois la pull request ouverte, il reste possible de demander des ajustements supplémentaires en commentant directement dessus, ou en reprenant la session depuis l’onglet « Agents » du dépôt. L’assignation peut aussi se faire par l’API REST, ce qui ouvre la voie à une intégration dans des campagnes de remédiation automatisées :
PATCH /repos/{owner}/{repo}/code-scanning/alerts/{alert_number}
Authorization: Bearer <token>
Content-Type: application/json
{
"assignees": ["copilot-swe-agent[bot]"]
}L’agent revalide chaque correctif en relançant CodeQL avant d’ouvrir sa pull request, plutôt que de se contenter d’une suggestion non vérifiée.
Qui peut y accéder
La fonctionnalité est réservée aux clients GitHub Code Security ou GitHub Advanced Security sur GitHub Enterprise Cloud, y compris avec résidence des données. Un administrateur d’entreprise doit d’abord activer la politique « Agentic autofix » dans les politiques Advanced Security, puis un administrateur d’organisation ou de dépôt l’active à son niveau. Un moyen de facturation Copilot doit également être configuré, au même titre que pour les autres agents cloud décrits dans le guide sur l’IA pour les développeurs.
Une brique de plus pour les agents en production
Cette généralisation s’inscrit dans une tendance plus large de délégation de tâches de maintenance à des agents capables d’itérer sur un résultat vérifiable, un sujet déjà traité dans le panorama des agents éditoriaux en production. La différence ici tient à la nature du critère de succès : contrairement à un contenu éditorial, une alerte CodeQL offre un signal binaire (fermée ou non) sur lequel l’agent peut boucler automatiquement, ce qui explique pourquoi la sécurité du code est un terrain d’adoption précoce pour ce type d’automatisation.
Ce qu’il faut retenir
- L’autofix agentique passe de la préversion (juillet 2026) à la disponibilité générale le 15 octobre 2026.
- L’agent explore le code, corrige, revalide avec CodeQL et ouvre une pull request en brouillon, sur un principe de boucle vérifiée plutôt que de suggestion ponctuelle.
- Jusqu’à 25 alertes peuvent être traitées ensemble, uniquement sur la branche par défaut.
- L’accès nécessite GitHub Advanced Security, Enterprise Cloud, et une activation à deux niveaux (entreprise puis organisation ou dépôt).
- L’usage est payant en AI Credits, distinct du « Generate Fix » gratuit toujours disponible.
La bascule en disponibilité générale ne doit pas faire oublier que la pull request reste une proposition, pas une correction validée. Une revue humaine avant fusion garde tout son sens, surtout sur du code touchant à l’authentification ou à la gestion des droits, où un correctif syntaxiquement propre peut masquer une régression fonctionnelle que CodeQL ne détecte pas. — Simon Janvier
Pour aller plus loin : l’annonce officielle sur le changelog GitHub.
