GitHub hat AI Scan für Pull Requests am 15. Oktober 2026 allgemein freigegeben. Die Funktion ergänzt CodeQL und prüft Änderungen in Sprachen wie PHP, Shell/Bash, Terraform und Dockerfiles. Funde sind nur Hinweise und blockieren keinen Merge. Für private Repositories braucht es Code Security oder Advanced Security, eine Copilot-Lizenz ist nicht nötig.
AI Scan prüft Pull Requests auf Sicherheitslücken, wo CodeQL nicht greift. Die Funktion ist seit dem 15. Oktober 2026 allgemein verfügbar. Teams bekommen Hinweise zu Code, der bisher ohne automatische Prüfung durchlief.
Das Wichtigste in Kürze
- AI Scan ergänzt CodeQL. Die Funktion prüft Änderungen in Sprachen und Frameworks, die CodeQL heute nicht abdeckt.
- Funde sind nur Hinweise. Sie lassen den Code-Scanning-Check nicht scheitern und blockieren keinen Merge über Regelsätze.
- Eine Copilot-Lizenz ist nicht nötig. Für private und interne Repositories von Firmen und Teams braucht es aber Code Security oder Advanced Security.
- Die Nutzung kostet AI Credits. Der Verbrauch erscheint in der Abrechnung unter dem Produkt Advanced Security.
Welche Lücken AI Scan abdeckt
CodeQL ist stark, doch es kennt nicht jede Sprache. Hier setzt die neue Funktion an. Der Anbieter nennt als Beispiele diese Bereiche:
- PHP
- Shell und Bash
- Terraform-Konfiguration (HCL)
- Dockerfiles
- JSP für Java
- Blazor für C#
Die Liste endet in der Meldung mit "und mehr". Eine vollständige Aufstellung nennt die Quelle nicht. Prüfe deshalb in der Dokumentation von GitHub, ob dein Stack dabei ist.
Gerade Infrastruktur als Code und Build-Dateien bleiben in vielen Projekten ungeprüft. Ein Fehler in einem Dockerfile oder in einer Terraform-Datei kann viel Schaden anrichten. Eine Prüfung vor dem Merge erreicht solche Dateien früh.
So erscheinen die Funde im Review
Der Scan startet automatisch bei jedem Pull Request. Dafür müssen zwei Dinge aktiv sein: Code Scanning und die wirksame AI-Scan-Einstellung des Projekts.
Die Ergebnisse stehen neben den CodeQL-Alerts. Du findest sie auf den Tabs Conversation und Files changed. Ein Hinweis mit dem Kürzel "AI" zeigt, dass ein Fund vom KI-Scan stammt.
Dabei liefert die Funktion mehr als nur eine Warnung. Ein Fund kann das Risiko erklären. Er kann zudem einen Vorschlag für einen Autofix enthalten. Wer die Änderung prüft, sieht also Problem und mögliche Lösung an einer Stelle.
Da die Funde nur beraten, bleibt die Entscheidung beim Team. Der Check schlägt nicht fehl. Auch Regelsätze können einen Merge wegen eines solchen Fundes nicht sperren.
Lizenz, Kosten und Grenzen
Öffentliche Repositories von Firmen, Teams oder persönlichen Konten können die Funktion nutzen. Für private und interne Repos von Firmen und Teams braucht es Code Security oder Advanced Security. Eine Copilot-Lizenz verlangt der Anbieter nicht.
Abgerechnet wird über Code Security AI Credits. Im Bereich "AI usage" der Unternehmensabrechnung erscheint der Verbrauch als Produkt "Advanced Security". Du kannst zudem Budgets für einzelne SKUs setzen. So behalten Administratoren die Kosten im Blick.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Allgemeine Verfügbarkeit | 15. Oktober 2026 | Die Funktion ist kein Preview mehr |
| Merge-Sperre | Nicht möglich | Funde sind Hinweise und lassen den Check nicht scheitern |
| Forks und Dependabot | Kein Scan | Solche Änderungen bleiben ohne AI Scan |
| Copilot-Lizenz | Nicht nötig | Die Kosten fallen als Code Security AI Credits an |
| Private Repos | Code Security oder Advanced Security | Ohne eine dieser Lizenzen bleibt der Scan dort aus |
Beachte die Lücken. Änderungen aus Forks prüft die Funktion nicht. Das Gleiche gilt für Anfragen, die Dependabot erstellt. Wer externe Beiträge über Forks annimmt, braucht dafür weiter andere Kontrollen.
Was Teams jetzt prüfen sollten
GitHub hat die Meldung am 15. Oktober 2026 veröffentlicht. Die Quelle nennt kein späteres Update. Der Stand dieses Beitrags ist damit der 15. Oktober 2026. Die Originalmeldung im Changelog enthält auch Links zur Diskussion in der Community.
Für den Einstieg helfen drei Schritte:
- Prüfe, ob Code Scanning in deinen Projekten aktiv ist.
- Kläre, ob deine Lizenz für private Repos reicht.
- Lege ein Budget für die AI Credits fest, bevor der Verbrauch wächst.
Zudem lohnt sich ein Test an einem Projekt mit PHP, Bash oder Terraform. Dort zeigt sich schnell, wie nützlich die Hinweise und Autofix-Vorschläge im Alltag sind.
Fazit
AI Scan schliesst eine Lücke neben CodeQL und zeigt Funde direkt in der Änderung. Sie sind beratend und blockieren nichts. Als nächsten Schritt aktivierst du die Funktion in einem Testprojekt und beobachtest den Verbrauch an AI Credits.
Quellen: GitHub Changelog. Foto: carlosalbertoteixeira / Pixabay. Stand: 17. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.