GitHub AI Scan não aparece no pull request: como ativar

Resposta rápida

O GitHub AI Scan não precisa mais do CodeQL Default Setup para analisar pull requests. A mudança foi anunciada em 16 de setembro de 2026. Porém, a análise só roda quando code scanning está habilitado, a configuração efetiva do AI Scan está ativa e um pull request elegível contém mudanças qualificadas em linguagem ou framework que o CodeQL não cobre.

Na prévia pública verificada, o recurso também exige GitHub Advanced Security e uma licença do GitHub Copilot, consome créditos de IA e não funciona em pull requests vindos de forks ou criados pelo Dependabot. Antes de alterar configurações, confirme no GitHub Status se Pull Requests, Copilot e os provedores de modelos estão operacionais.

O que mudou em 16 de setembro

Antes, o AI Scan para pull requests rodava somente em repositórios com CodeQL Default Setup configurado. O GitHub removeu essa dependência: agora o AI Scan pode executar mesmo sem essa configuração e continua independente do estado da análise CodeQL. Se o CodeQL falhar ou ficar aguardando, o AI Scan ainda pode rodar.

Não surgiu uma nova etapa de instalação. Organizações que já habilitaram o AI Scan passam a alcançar mais repositórios elegíveis onde code scanning está ativo. A mudança está em prévia pública para repositórios pessoais e de organizações no github.com; GitHub Enterprise Server não é compatível com essa versão.

Requisitos que precisam estar ativos

Remover a dependência do CodeQL Default Setup não tornou a análise automática para qualquer repositório. O GitHub verifica licença, política, configuração do repositório e conteúdo do pull request antes de iniciar o uso e consumir créditos.

• Confirme que o repositório está no github.com e é elegível ao GitHub Advanced Security durante a prévia.
• Verifique se a conta ou organização possui a licença do GitHub Copilot exigida pela prévia.
• Habilite code scanning no repositório, mesmo que não use o CodeQL Default Setup.
• Confirme que a política efetiva do AI Scan está habilitada no nível do enterprise, da organização e do repositório.
• Use um pull request que não venha de fork nem tenha sido criado pelo Dependabot.
• Confirme que o novo commit contém mudanças qualificadas em uma linguagem ou framework fora da cobertura aplicável do CodeQL.

Como habilitar em enterprise, organização e repositório

Em uma conta enterprise, a política do AI Scan fica como Not allowed por padrão. O enterprise owner precisa permitir o recurso em Policies, Advanced Security e Code security. Essa permissão não o liga nas organizações: cada organização ainda precisa habilitá-lo nas configurações globais.

Na organização, owners, security managers ou membros com função administrativa acessam Settings, Advanced Security e Global settings. A opção AI Scan habilita a análise nos repositórios elegíveis onde code scanning está ativo. Administradores de repositório podem desativá-la em um projeto específico. Em repositório público elegível de uma conta pessoal, o administrador ativa a opção diretamente nas configurações de code scanning.

Também é possível consultar e alterar a configuração ai-scan pela API REST. A API está em prévia, respeita a política do enterprise e exige permissões administrativas adequadas. Uma resposta 403 pode indicar falta de permissão ou bloqueio da política, e não uma indisponibilidade do scan.

Por que o AI Scan ainda não aparece

O resultado não aparece como um alerta acumulado na área Security do repositório. O AI Scan trabalha somente no pull request e publica achados nas abas Conversation e Files changed, identificados por um indicador AI. Procurar apenas na lista de alertas de code scanning pode dar a impressão errada de que nada rodou.

Mesmo com todas as opções ativas, nem todo pull request gera um achado. O mecanismo foi criado para cobrir linguagens e frameworks que o CodeQL não cobre, como PHP, Shell ou Bash, HCL de Terraform e Dockerfiles, além de lacunas de frameworks. A ausência de um comentário pode significar que não houve mudança qualificável ou vulnerabilidade sinalizada.

• Abra o pull request e confira Conversation e Files changed, não apenas Security.
• Verifique se o head do pull request recebeu um novo commit depois da ativação; o scan é acionado na criação e a cada novo commit.
• Confirme a origem do pull request e descarte fork ou Dependabot.
• Revise a configuração efetiva nos três níveis, principalmente a política enterprise que começa bloqueada.
• Confirme code scanning, licenças e créditos de IA disponíveis para a organização.
• Consulte o GitHub Status antes de repetir commits ou mudar a política.

Como interpretar e corrigir um achado

Cada achado descreve o problema e o risco. A maioria inclui uma sugestão de correção e, quando disponível, Copilot Autofix com uma mudança recomendada. O resultado é consultivo: durante a prévia, não bloqueia o merge e não pode ser usado em rulesets como requisito obrigatório.

Revise o fluxo real do código antes de aceitar a sugestão. Ferramentas baseadas em IA podem gerar falso positivo, e o próprio GitHub fornece uma avaliação positiva ou negativa para reportar a qualidade do resultado. Faça testes e revisão humana antes de incorporar uma correção automática.

O que o recurso cobre e o que não cobre

O AI Scan procura categorias como injeção, criptografia fraca, controle de acesso quebrado, exposição de dados sensíveis, configuração insegura, falhas de autenticação, integridade de dados, SSRF e riscos de cadeia de suprimentos. Ele analisa diretamente o código alterado e não exige sistema de build.

O mecanismo usa prompts próprios e ignora arquivos de instruções personalizados como .github/copilot-instructions.md e CLAUDE.md. Ele não substitui o CodeQL, não faz varredura completa do histórico e não elimina a necessidade de secret scanning, revisão de dependências e testes. A cobertura, as linguagens e as categorias podem mudar durante a prévia.

Custos, créditos e controle de ativação

O uso do AI Scan consome créditos de IA. A documentação informa que o consumo começa quando code scanning está habilitado, a configuração efetiva do AI Scan está ativa e um pull request elegível contém mudanças qualificadas. Não é necessário nem possível escolher um modelo para habilitar o recurso.

Antes de liberar em toda a organização, valide a política e o consumo em um conjunto pequeno de repositórios representativos. Registre quais equipes podem alterar a configuração e acompanhe a cobrança por uso no nível administrativo adequado.

Limites e próxima ação útil

Este guia foi verificado em 17 de setembro de 2026. O AI Scan está em prévia pública, exige produtos licenciados, consome créditos e pode mudar. Um pull request sem comentário não comprova falha do serviço, assim como um achado não comprova sozinho que a vulnerabilidade é explorável.

Comece pela política do enterprise, confirme a configuração global da organização e depois revise code scanning e o toggle do repositório. Abra um pull request de teste com uma mudança elegível que não venha de fork ou Dependabot, acompanhe Conversation e Files changed e consulte o GitHub Status se o resultado não aparecer.

Fontes consultadas

Os links abaixo servem para conferir conceitos, orientações oficiais e o critério editorial usado neste conteúdo.

• Code scanning AI Scan no longer requires CodeQL default setupGitHub Changelog
• AI Scan for pull requestsGitHub Docs
• Enforcing policies for code security and analysisGitHub Docs
• Configuring global security settingsGitHub Docs
• REST API endpoints for code scanningGitHub Docs
• Usage-based billing for organizations and enterprisesGitHub Docs
• GitHub StatusGitHub