Pengumuman fitur keamanan baru
GitHub mengumumkan public preview AI Scan untuk repositori pada 28 Oktober 2026. Sebelumnya AI Scan telah digunakan untuk memeriksa perubahan pull request; kemampuan baru ini memperluas cakupan ke seluruh repositori. Tujuannya membantu tim menemukan kelemahan yang mungkin tidak terjangkau analisis berbasis aturan, sekaligus melengkapi CodeQL. Pengumuman preview tidak berarti fitur ini otomatis aktif pada setiap proyek. Tim perlu memeriksa hak akses, kebijakan organisasi, dan kebutuhan biaya sebelum mulai menggunakannya. Pemindaian juga bukan bukti bahwa semua kelemahan pasti ditemukan, sehingga pemeriksaan keamanan lain tetap diperlukan.
Cara AI Scan memeriksa kode
Setelah kebijakan AI Scan diaktifkan, pengguna yang memiliki akses tulis pada code scanning dapat memulai pemindaian melalui halaman Code scanning. GitHub menyebut setiap pemindaian menganalisis commit terbaru pada cabang bawaan repositori. Pemindai berbasis agent menelusuri proyek dan memusatkan perhatian pada bagian kode yang kemungkinan mengandung kerentanan. Setiap pemindaian berjalan dalam batas waktu tertentu agar biayanya terkendali. Cakupan ini berbeda dari pengujian dinamis aplikasi yang sedang berjalan; tim tetap perlu memeriksa konfigurasi, dependensi, dan lingkungan produksi. Hasil pemindaian harus ditinjau dalam konteks kode nyata sebelum ditetapkan sebagai risiko yang terbukti.
Hubungan dengan CodeQL dan alert
GitHub menjelaskan AI Scan mendukung bahasa dan framework yang belum tercakup CodeQL serta dapat menemukan masalah yang terlewat oleh analisis berbasis aturan pada bahasa yang sudah didukung. Ketika keduanya memindai repositori yang sama, AI Scan melewati temuan yang sudah dilaporkan CodeQL untuk mengurangi duplikasi. Hasilnya muncul pada daftar code scanning alert bersama temuan lain. Alert dapat diberi penanggung jawab, dihubungkan dengan issue atau pull request, dan ditangani melalui alur keamanan yang tersedia. Temuan otomatis tidak selalu berarti eksploitasi telah terjadi; penilaian tingkat keparahan membutuhkan konteks, jalur eksekusi, dan validasi dari tim.
Mengapa pemindaian ulang penting
GitHub mengatakan AI Scan mempertahankan temuan lama jika masih terdeteksi pada pemindaian berikutnya dan hanya melaporkan temuan baru. Alert AI Scan tidak otomatis tertutup ketika perbaikan digabungkan. Tim perlu menjalankan pemindaian ulang setelah merge untuk memeriksa apakah kelemahan benar-benar telah diatasi dan menutup alert yang sudah tidak ditemukan. Prosedur ini membantu menghindari anggapan bahwa pull request berjudul perbaikan keamanan pasti menyelesaikan masalah. Untuk sistem penting, sertakan pula pengujian regresi dan review manual. AI Scan adalah alat bantu prioritisasi, bukan pengganti seluruh proses manajemen kerentanan.
Ketersediaan dan biaya penggunaan
Menurut GitHub, AI Scan untuk repositori tersedia di github.com dan GitHub Enterprise Cloud dengan data residency. Repositori publik milik akun pribadi didukung, tetapi repositori privat milik akun pribadi belum didukung. Untuk organisasi, repositori publik dapat menggunakan fitur ini, sedangkan repositori privat dan internal memerlukan GitHub Code Security atau GitHub Advanced Security. Lisensi Copilot tidak diperlukan. Pemakaian mengonsumsi Code Security AI credits dan dapat dipantau melalui informasi penagihan. Organisasi dapat mengatur anggaran agar biaya terkendali. Karena statusnya preview, pengelola sebaiknya membaca dokumentasi terbaru sebelum menerapkannya pada banyak repositori.
Langkah praktis untuk tim keamanan
Mulailah dari repositori yang relevan, tentukan penanggung jawab temuan, dan siapkan cara memvalidasi hasil. Jangan mengaktifkan pemindaian secara luas tanpa memahami kebijakan dan biaya. Catat kapan cabang utama terakhir dipindai, prioritaskan kerentanan yang dapat dijangkau dari jalur eksekusi nyata, lalu lakukan pemindaian ulang setelah patch. Gabungkan AI Scan dengan CodeQL, pemeriksaan dependensi, dan pengujian aplikasi sesuai kebutuhan. Perluasan pemindaian ini memberi pilihan baru bagi tim keamanan, tetapi keputusan memperbaiki, menerima, atau menunda risiko harus tetap terdokumentasi dan dapat dipertanggungjawabkan. Temuan yang belum terkonfirmasi sebaiknya tidak diumumkan sebagai insiden yang telah terjadi.
Sumber rujukan
GitHub Changelog, AI Scan for repositories in public preview, 28 Oktober 2026. Foto unggulan: Chris Ried/Unsplash, ilustrasi kode, bukan bukti insiden.
