Le scanner de vulnérabilités agentique de GitHub ne s'arrête plus aux lignes modifiées par une pull request. Selon Pondero, d'après le journal des modifications de GitHub daté du 28 octobre 2026, AI Scan pour les dépôts peut désormais explorer l'intégralité d'une base de code et signaler des problèmes dans des langages que CodeQL n'a jamais pris en charge — un bond par rapport à la version limitée aux pull requests que GitHub avait livrée en septembre.

La version couvrant tout un dépôt est entrée en préversion publique sur github.com et GitHub Enterprise Cloud avec résidence des données, selon le même article. Une fois la politique AI Scan activée par une entreprise, les propriétaires d'organisation et les responsables sécurité l'activent pour leur organisation ; les propriétaires de comptes personnels l'activent dans les paramètres du dépôt. Une analyse porte sur le dernier commit de la branche par défaut, le scanner agentique explorant le dépôt en se concentrant sur le code le plus susceptible de contenir des vulnérabilités, dans un budget de temps fixe pour maîtriser les coûts.

Les résultats rejoignent la liste habituelle des alertes d'analyse de code, aux côtés des alertes CodeQL, prennent en charge les responsables assignés et les pull requests liées, et peuvent être corrigés grâce à la correction automatique agentique. Lorsqu'AI Scan et CodeQL couvrent le même dépôt, AI Scan ignore ce que CodeQL signale déjà, et aucune licence GitHub Copilot n'est requise. Les dépôts publics bénéficient de la fonctionnalité sans siège Copilot ; les dépôts privés et internes exigent toujours GitHub Code Security ou GitHub Advanced Security, et les comptes personnels ne peuvent pas du tout l'utiliser sur des dépôts privés.

Deux réserves méritent d'être notées avant que les équipes s'appuient dessus. GitHub n'a publié ni taux de faux positifs ni exemples de résultats pour l'analyse à l'échelle du dépôt, et les nouvelles analyses ne ferment pas automatiquement les alertes corrigées — une équipe sécurité doit lancer une nouvelle analyse après la fusion d'un correctif pour vider son arriéré. Le changement reste important : l'ancien scanner protégeait ce qui changeait, celui-ci audite ce qui existe déjà.

Sources