GitHub Copilot app 上线安全扩展：code scanning 告警可在会话内直接解释与修复
GitHub 于 2026-10-28 为 Copilot app 推出安全扩展（public preview）：可浏览、解释、修复 code scanning 告警，并对当前改动运行 /security-review。
2026-10-30 · GitHub Changelog（官方一手，2026-10-28）
发布 2026-10-30核实 2026-10-30要点
- 2026-10-28，GitHub 为 GitHub Copilot app 推出 GitHub security extension（安全扩展），当前为 public preview。官方原文："You can now work through your repository's GitHub code scanning alerts without leaving the GitHub Copilot app."
- 它解决的是一个具体的往返成本：官方描述——"Until now, fixing a code scanning alert meant switching between the alert on github.com and the code in your editor. With the security extension, you can move from finding an alert to fixing it in one place."
- 能做的事：按严重程度排序浏览仓库里所有打开的 code scanning 告警，可用搜索与筛选缩小范围；打开告警看详情与受影响代码；选中一条或多条让 Copilot Explain 或 Fix；查看告警上关联的 PR（是否有人已在修）；**忽略（dismiss）**不打算修的告警。
- 提交前自查：对当前改动运行
/security-review，结果与已有告警并排展示；扩展还会提示代码自上次评审以来是否发生变更，提醒你何时该再跑一次。 - 修复的作用域有硬边界："Copilot only makes fixes in your local working copy and doesn't commit or push anything." ——只改本地工作副本，不提交、不推送，由你 review 后自行 push。
- 安装方式：终端执行
copilot plugin install github-security@awesome-copilot；或在 app 内点 Customize → 搜索github-security→ + Install。安装后自动启用，可从仓库会话打开 Security canvas。 - 可用范围：github.com 与 GitHub Enterprise Cloud with data residency；GitHub Enterprise Server 不支持。
- 计费：Explain、Fix、
/security-review会按你在 app 里所选的模型消耗 AI credits（与其他 prompt 同口径）；浏览与忽略告警不消耗 AI。
背景与分析
权限门槛是三层，不是一层
这是本条最容易被忽略的部分——能装上扩展 ≠ 能看到告警 ≠ 能修：
| 层 | 要求 | 官方口径 |
|---|---|---|
| 装扩展 | 任意 Copilot plan 均可安装，并可对本地改动跑 /security-review | 无计划限制 |
| 企业管控 | Business / Enterprise 需管理员先启用 GitHub Copilot app policy；组织可通过 enterprise managed settings 控制可安装的插件 | 管理员在前面 |
| 看告警 | 仓库必须已启用 code scanning，且你有查看告警的权限；私有仓库需要 GitHub Code Security | 仓库级前置条件 |
换句话说：个人开发者今天就能装；企业用户大概率要等管理员开策略，这个时间差在落地排期里必须算进去。
「忽略」这条路径在企业里会变成审批流
官方写："If your organization uses delegated alert dismissal, the extension sends your dismissal for approval." ——组织开了 delegated alert dismissal 之后，在扩展里点「忽略」不是即时生效，而是提交审批。
这条容易被当成「功能没生效」的 bug，实际是合规设计。如果你的告警长期清不掉，先确认是不是卡在审批队列里。
与聊天的关系：它就是一个普通工具
官方说明可以在聊天里直接问告警，"Copilot will call the security extension's tools like any other tool and follow your tool permission settings." ——它受你的工具权限设置约束，不是一条绕过管控的旁路。这一点对正在做 agent 权限治理的团队是利好：安全能力没有成为特权通道。
AI 之家 观点
这条变更的价值不在「AI 能修漏洞」，而在把告警的处置闭环放进了开发者已经待着的地方。 安全告警的真实损耗从来不是「不会修」，而是「要切上下文」——从 github.com 跳编辑器、从编辑器跳回告警页，跳两次之后多数人会选择把它排到下周。扩展把这个往返从两次压到零次，是典型的摩擦消除型改进。
但要提醒三点。第一，/security-review 是消耗 AI credits 的，在按预算计量的企业环境里（见 Copilot Fusion 转正 同日的计费变更），大规模跑评审之前应先确认预算与告警阈值，否则成本会静默增长。第二，修复只落本地工作副本是好事也是约束——它保证了人仍在环内，但也意味着无法直接变成 CI 里的自动修复流水线。第三，Enterprise Server 不在支持范围内，自建 GitHub 的团队本次不受益。
最后一条边界：这是 public preview，功能面与可用性随时可能变，不建议把它写进合规流程的强制环节。
相关阅读
来源
待核实
/security-review的 AI credits 消耗量级：官方只说「与任何 prompt 同口径」，未给具体倍率或估算。- Security canvas 的具体形态与可用命令：官方仅提到可从仓库会话打开，未给界面与命令细节。
- GitHub Code Security 的计费与覆盖：私有仓库查看告警的前提，本站未核对定价。
- preview 转 GA 的时间表：官方未给。
- 本站未做安装实测：
copilot plugin install github-security@awesome-copilot的实际行为未验证。
本文由 AI 之家 编辑部依据 GitHub 官方 changelog 一手整理，未做安装与实测；功能状态与可用性以官方页面为准。