GitHub hat Agentic Autofix für Code-Scanning-Alarme am 15. Oktober 2026 allgemein verfügbar gemacht. Copilot untersucht den Code, schlägt einen Fix vor und prüft ihn mit CodeQL. Danach entsteht ein Pull Request zur Prüfung durch das Team. Die Funktion braucht eine Freigabe durch Enterprise-Administratoren und verbraucht AI Credits sowie Actions-Minuten.
Copilot behebt Code-Scanning-Alarme jetzt selbst und prüft den Fix mit CodeQL, bevor ein Pull Request entsteht. Die Neuerung ist seit dem 15. Oktober 2026 allgemein verfügbar. Für Teams mit offenen Sicherheitsalarmen spart das viel Handarbeit.
Das Wichtigste in Kürze
- Copilot arbeitet wie ein Entwickler: Der Agent sucht relevante Dateien, schlägt einen Fix vor und prüft ihn mit CodeQL.
- Du behältst die Kontrolle: Am Ende steht ein Pull Request, den dein Team prüft und freigibt.
- Ein Administrator muss die Option freischalten: Dazu dient die neue Richtlinie "Agentic autofix" in den Advanced-Security-Richtlinien.
- Es fallen Kosten an: Der Agent verbraucht AI Credits aus dem Code-Security-Budget und zudem Actions-Minuten.
Agentic Autofix: Was der Agent bei einem Alarm tut
Der Anbieter hat die Änderung am 15. Oktober 2026 im GitHub Changelog veröffentlicht. Die Quelle nennt kein späteres Aktualisierungsdatum. Damit gilt der 15. Oktober 2026 als erste und zugleich letzte bekannte Fassung der Meldung.
Du weist einen Code-Scanning-Alarm Copilot zu. Der Agent geht dann vor wie ein Entwickler. Er liest die betroffenen Stellen im Code und sucht verwandte Dateien. Danach schlägt er eine Korrektur vor.
Dabei startet er CodeQL erneut und prüft, ob der Alarm nach seiner Änderung verschwindet. Erst bei Erfolg öffnet er den Pull Request.
Darin steht eine Zusammenfassung des Fixes. Sie erklärt, warum der Alarm damit geschlossen ist. Zudem listet sie die Prüfschritte auf, die Copilot durchgeführt hat. So siehst du, was geändert und wie es getestet wurde.
Deshalb musst du dem Agenten nicht blind vertrauen. Du kannst weitere Änderungen anfordern. Dafür schreibst du einen Kommentar im Pull Request. Alternativ nutzt du die Sitzung im Reiter "Agents" deines Repositorys.
Voraussetzungen für Agentic Autofix
Die Option steht Kunden von GitHub Code Security und GitHub Advanced Security zur Verfügung. Sie läuft auf GitHub Enterprise Cloud, auch mit Datenresidenz. Wer andere Pläne nutzt, findet in der Quelle keine Angabe dazu.
Die Freigabe läuft in mehreren Stufen:
- Ein Enterprise-Administrator aktiviert die Richtlinie "Agentic autofix" in den Advanced-Security-Richtlinien.
- Ein Administrator der Organisation oder des Repositorys schaltet die Option in den Code-Security-Einstellungen ein.
- Für Copilot muss eine Abrechnungsmethode hinterlegt sein.
Dabei ändert sich auch die Oberfläche. Die kostenlose Option "Generate Fix" bei einzelnen Alarmen entfällt, sobald der Agent aktiv ist. An ihrer Stelle erscheint die Schaltfläche "Assign to Copilot". Plane das ein, falls dein Team die alte Option bisher nutzt.
Grenzen und Kosten im Überblick
Der Agent deckt nur Alarme auf dem Standardbranch eines Repositorys ab. Alarme, die nur in Pull Requests oder auf anderen Branches auftauchen, kannst du Copilot nicht zuweisen.
Daher musst du solche Funde zuerst auf den Standardbranch bringen. Erst dann lassen sie sich dem Agenten übergeben.
Die wichtigsten Eckdaten aus der Meldung:
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Verfügbarkeit | Allgemein verfügbar seit 15. Oktober 2026 | Die Neuerung ist nicht mehr in der Vorschau. |
| Plan | GitHub Enterprise Cloud mit Code Security oder Advanced Security | Ohne diese Lizenz bleibt der Zugang gesperrt. |
| Geltungsbereich | Alarme auf dem Standardbranch | Alarme nur auf anderen Branches lassen sich nicht zuweisen. |
| Abrechnung | AI Credits und Actions-Minuten | Beide Posten belasten dein Budget. |
| Freigabe | Richtlinie durch Enterprise-Administrator | Ohne diesen Schritt können Teams die Option nicht einschalten. |
Zudem zeigt der Anbieter die Nutzung im Bereich "AI usage" der Abrechnung für Unternehmen. Dort erscheint sie unter dem Produkt "Advanced Security". Du kannst ausserdem Budgets auf Ebene einzelner SKUs für Code-Security-Credits setzen.
So begrenzt du die Ausgaben, bevor sie aus dem Ruder laufen. Details zur nutzungsbasierten Abrechnung von Copilot findest du in der Dokumentation. Dort steht auch mehr zur Neuerung selbst. Für Fragen und Erfahrungsberichte verweist der Anbieter auf seine Community.
Fazit
Du weisst jetzt, wie Copilot einen Code-Scanning-Alarm bis zum geprüften Pull Request bearbeitet und was dafür nötig ist. Der nächste Schritt liegt beim Enterprise-Administrator: Er prüft die Richtlinie, die Abrechnungsmethode und das Budget. Starte danach mit wenigen Alarmen und kontrolliere die Änderungen genau. So siehst du schnell, wie gut die Fixes zu deinem Code passen.
Quellen: GitHub Changelog. Foto: Pexels / Pixabay. Stand: 17. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.