GitHub Copilot agentic autofix 转正：把 CodeQL 告警交给 Copilot，改完自己重跑 CodeQL 验证再开 PR
GitHub 于 2026-10-15 将 agentic autofix 转为 GA：Copilot 修复代码扫描告警后重跑 CodeQL 自证闭环，再开草稿 PR，单次可批量指派最多 25 条。
2026-10-21 · GitHub 官方 changelog《Agentic autofix for code scanning alerts general availability》（2026-10-15，一手核对）
发布 2026-10-21核实 2026-10-21常青入口：GitHub Copilot 工具卡 · AI 代码评审工具对比 · AI 编程工具评测 · AI 概念百科
要点速览
- 2026-10-15，agentic autofix for code scanning alerts 转为 GA（官方 changelog 分类为 Release）。
- 工作流是"自证闭环"：探索相关文件 → 生成修复方案 → 重跑 CodeQL 确认告警真的被关闭 → 必要时迭代 → 开一个草稿 PR。
- PR 里带三段说明：修复摘要、为什么这条修复能关掉告警、以及 Copilot 为确认它有效所走的验证步骤。
- 单次最多可批量指派 25 条告警，合成一个 PR。
- 仅支持仓库默认分支上的告警——只在 PR 或其他分支上检出的告警不能指派给 Copilot。
- 它替换掉的是免费功能：官方写明启用后，原来的免费 "Generate Fix" 选项会被 "Assign to Copilot" 按钮取代。
- 门槛不低：需企业管理员先在 Advanced Security 策略里开启 "Agentic autofix"，且必须已设置 Copilot 计费方式；消耗 Code Security 预算里的 AI Credits。
它是怎么工作的
官方给出的四步：
- Copilot 在代码库里探索相关文件——不是只看告警那一行，而是按开发者会做的那样跨文件找上下文。
- 生成一份修复方案。
- 重跑 CodeQL，验证这个修复确实关闭了告警。
- 必要时迭代，然后开一个草稿 PR 等你评审。
第 3 步是这次区别于普通"AI 修 bug"的关键。 绝大多数 AI 修复工具止步于"生成了一段看起来对的代码"，而 agentic autofix 把静态分析工具重新跑一遍当作验收标准——告警还在不在，由 CodeQL 说了算，不由模型说了算。
PR 里会写明三件事：修复摘要、为什么它能关掉告警、以及 Copilot 走了哪些验证步骤。这个结构本身就是给评审者看的——你不需要自己重跑一遍才能判断可信度。
怎么用：三条入口
| 入口 | 用法 | 上限 |
|---|---|---|
| 单条告警 | 在仓库默认分支的任何 code scanning 告警上，指派给 Copilot | 一次一条 |
| 告警列表 / security campaign | 勾选多条一起修，合进同一个 PR | 最多 25 条 |
| REST API | 调用 Update a Code Scanning Alert，把 assignees 设为 ["copilot-swe-agent[bot]"] | 取决于调用方 |
限制：只支持默认分支。官方原话是 "Agentic autofix supports code scanning alerts on the repository's default branch. Alerts detected only on pull requests or other branches cannot be assigned to Copilot."
后续交互：PR 就绪后，你可以在 PR 上评论，或者在仓库的 Agents 标签页里直接跟这个会话交互，让 Copilot 继续改。
开启条件与成本
开启是两级审批：
- 企业管理员在 Advanced Security 策略里启用新的 "Agentic autofix" 策略；
- 策略启用后，组织或仓库管理员在 Code Security 设置里为该组织 / 仓库打开。
另外必须已定义 Copilot 计费方式。
成本：官方写明 消耗 Code Security 预算中的 AI Credits。
一个容易被忽略的变化：官方明确说启用后，agentic autofix 会取代单个告警上的免费 "Generate Fix" 选项。也就是说——原来免费的那条路，在这个仓库里就没有了。已有安全预算看板的团队，建议先在非关键仓库试跑一轮，量出单条告警的 AI Credits 消耗再全量推开。
AI 之家 观点
第一，"重跑 CodeQL 自证"这个设计比模型能力本身更值得抄。 AI 修代码最大的信任问题是没有客观验收。GitHub 把已有的静态分析工具当成验收闸门，让模型对自己的产出负责到"告警消失"为止。自建 agent 修 bug 流水线的团队，这条比任何 prompt 技巧都实在：先定义什么叫"修好了"（测试通过 / lint 无错 / 基准不退化），再让 agent 跑到闸门变绿为止。
第二，只支持默认分支，是产品定位而非技术限制。 它要的是" backlog 里的存量告警被清掉"，不是"每个 PR 实时修"。这决定了它适合当周期性治理工具，不适合当 PR 门禁。把这两个场景混在一起期待，会失望。
第三，"取代免费 Generate Fix"是这次最该写进采购清单的一行。 AI 能力 GA 通常意味着"多了一种选择"，但这次是替换。企业管理员打开这个策略之前，应该先确认 Code Security 预算够不够，否则会出现"原来免费的按钮变成了要花 AI Credits 的按钮"。
判断建议：① 先在 1–2 个告警量大的非核心仓库试跑，量单条成本；② 用 REST API 把它接进既有的安全治理流程（assignees: ["copilot-swe-agent[bot]"]），比人工点选更适合规模化；③ 默认分支之外的告警仍需人工或其他工具覆盖，别指望它全包。
待核实
- 是否同时消耗 Actions minutes：本站取到的官方正文在 "consumes AI Credits from your Code Security budget" 处截断，未取得完整计费段落；第三方汇总称还消耗 Actions minutes，本站未核实，不采信。
- 单条告警的 AI Credits 消耗量：官方未给任何数字或估算方法。
- 25 条的批量上限是否可调：官方未说明。
- 支持的语言与 CodeQL 规则覆盖：官方 changelog 未枚举，本站不作断言。
- 草稿 PR 之后的评论交互是否有轮次或时长上限：官方未说明。
- "Agentic autofix" 策略对企业内所有组织的继承规则：官方只说企业管理员启用后组织/仓库管理员再开启，未说明默认继承行为。
来源
- Agentic autofix for code scanning alerts general availability（GitHub 官方 changelog，2026-10-15，一手核对）
- 延伸阅读：GitHub Copilot 工具卡、CodeRabbit vs Greptile、Copilot 10-19 退役六模型与模型策略 API 资讯、AI PR 评审流水线方案
口径说明：本文的 GA 日期、四步工作流、PR 三段说明、三条使用入口与 25 条上限、"仅默认分支"限制、两级审批开启条件、需已定义 Copilot 计费方式、消耗 Code Security 预算的 AI Credits、以及"取代免费 Generate Fix 选项"，均取自上述 GitHub 官方 changelog 原文，英文引号内为官方原句。Actions minutes、单条消耗量、语言与规则覆盖等官方未给的信息，本站留空并列入待核实，不转录第三方估算。