El escáner de vulnerabilidades agente de GitHub ya no se detiene en las líneas que cambia un pull request. Pondero informa de que, según el registro de cambios de GitHub del 28 de octubre de 2026, AI Scan para repositorios ya puede rastrear todo un código base y señalar problemas en lenguajes que CodeQL nunca ha soportado: un salto de alcance respecto a la versión solo para pull requests que GitHub lanzó en septiembre.

La versión para todo el repositorio entró en vista previa pública en github.com y en GitHub Enterprise Cloud con residencia de datos, según el mismo informe. Una vez que una empresa activa la política de AI Scan, los propietarios de la organización y los responsables de seguridad la encienden para su organización; los propietarios de cuentas personales la activan en la configuración del repositorio. Un escaneo analiza el último commit de la rama por defecto, con el escáner agente explorando el repositorio y concentrándose en el código con más probabilidades de contener vulnerabilidades, dentro de un presupuesto de tiempo fijo para mantener el coste acotado.

Los hallazgos llegan a la lista habitual de alertas de code scanning junto a las de CodeQL, admiten responsables asignados y pull requests enlazados, y se pueden corregir con autofix agente. Donde AI Scan y CodeQL cubren el mismo repositorio, AI Scan omite lo que CodeQL ya informa, y no se requiere licencia de GitHub Copilot. Los repositorios públicos reciben la función sin un puesto de Copilot; los repositorios privados e internos siguen necesitando GitHub Code Security o GitHub Advanced Security, y las cuentas personales no pueden usarla en absoluto en repositorios privados.

Conviene tener en cuenta dos advertencias antes de que los equipos se apoyen en ella. GitHub no ha publicado tasas de falsos positivos ni ejemplos de hallazgos del escaneo de todo el repositorio, y los reescaneos no cierran automáticamente las alertas corregidas: el equipo de seguridad debe iniciar un nuevo escaneo tras fusionar una corrección para limpiar su lista pendiente. Aun así, el cambio importa: el antiguo escáner vigilaba lo que estaba cambiando, mientras que este audita lo que ya existe.

Fuentes