GitHub เปิด Agentic Autofix แบบ GA ให้ Copilot เสนอแพตช์ช่องโหว่เป็น Draft PR

วันที่ 15 ตุลาคม 2026 GitHub เปิด agentic autofix สำหรับ code scanning alerts แบบใช้งานทั่วไป ฟีเจอร์นี้ให้ Copilot สำรวจไฟล์ที่เกี่ยวข้อง เสนอการแก้ปัญหา รัน CodeQL ซ้ำเพื่อตรวจว่า alert เดิมปิดได้ แล้วเปิด draft pull request ให้มนุษย์ review จุดที่ควรจำคือ GitHub อธิบายว่าระบบช่วยทำงานแก้ไขเป็นขั้นตอน ไม่ได้หมายความว่า patch ที่ผ่าน CodeQL รอบหนึ่งถูกต้องทุกด้านหรือ merge ได้ทันที

ต่างจากการกด Generate Fix แบบเดิม

เมื่อองค์กรเปิด agentic autofix ตัวเลือก Generate Fix แบบเดิมใน alert รายตัวจะเปลี่ยนเป็น Assign to Copilot หลัง assign แล้ว agent จะอ่านบริบทในโค้ดหลายไฟล์ สร้าง patch ทดสอบกับ CodeQL และแก้ต่อหากจำเป็น ก่อนเปิด draft PR พร้อมสรุปว่าเปลี่ยนอะไร เหตุใดจึงปิด alert และใช้ขั้นตอนใดตรวจสอบ ผู้ดูแลยังสามารถขอให้ Copilot ปรับงานเพิ่มผ่านคอมเมนต์ใน PR หรือผ่าน Agents tab ของรีโป

กระบวนการนี้ช่วยลดงานซ้ำจาก alert ที่แก้แบบกลไกได้ แต่ PR ที่เปิดมาควรผ่าน test ของแอปและการ review ของเจ้าของโค้ด เพราะการปิด query ของ CodeQL เป็นเพียงหนึ่งหลักฐาน ตัวอย่างเช่นการเพิ่ม validation อาจทำให้ alert หาย แต่ถ้ามันปฏิเสธ input ที่ผู้ใช้จริงจำเป็นต้องส่ง ก็เป็น regression อยู่ดี ทีมควรตรวจทั้งกรณีโจมตีและกรณีใช้งานปกติ พร้อมดูว่า patch ย้ายความเสี่ยงไปจุดอื่นหรือไม่

ใช้กับ alert ประเภทใด

GitHub ระบุว่าฟีเจอร์รองรับ code scanning alerts บน default branch เท่านั้น alert ที่พบเฉพาะใน PR หรือสาขาอื่นยัง assign ให้ Copilot ด้วยวิธีนี้ไม่ได้ ผู้ใช้สามารถเปิด alert รายตัวแล้ว assign หรือเลือกได้สูงสุด 25 alert ในรายการ security alerts หรือ security campaign เพื่อให้แก้ใน PR เดียว รวมถึงใช้ REST API โดยตั้ง assignee เป็น copilot-swe-agent[bot] ความสามารถจัดกลุ่มมีประโยชน์เมื่อหลาย alert มาจากสาเหตุเดียวกัน แต่ควรหลีกเลี่ยงรวมปัญหาที่ไม่เกี่ยวกันจน PR ใหญ่เกิน review

สำหรับทีมที่มี backlog จำนวนมาก การเลือก 25 alert ไม่ได้การันตีว่า agent จะแก้ได้ทั้งหมดหรือว่า patch จะไม่มีผลข้างเคียง ควรเริ่มจากกลุ่มที่มีเจ้าของโค้ดเดียวกัน มี test ครอบคลุม และสามารถ rollback ได้ง่าย เมื่อได้ PR แล้วตรวจว่าแต่ละ alert ถูกปิดจริง และไม่มีการตัดทิ้งหรือ suppress ผลแทนการแก้ที่ต้นเหตุ

เงื่อนไขการเปิดใช้และต้นทุน

ตามประกาศ ฟีเจอร์มีให้ลูกค้า GitHub Code Security และ GitHub Advanced Security บน GitHub Enterprise Cloud รวมถึงแบบ data residency ผู้ดูแล enterprise ต้องเปิดนโยบาย Agentic autofix ใน Advanced Security policies ก่อน จากนั้นผู้ดูแลองค์กรหรือรีโปจึงเปิดใน Code Security settings ได้ และต้องมีวิธีชำระเงินสำหรับ Copilot กำหนดไว้ การใช้ฟีเจอร์กิน AI Credits จากงบ Code Security รวมทั้ง GitHub Actions minutes ดังนั้นควรตรวจทั้งสองส่วนก่อนเปิดใช้กว้าง

ทีมรักษาความปลอดภัยควรกำหนดเพดานงบหรือ SKU budget และติดตามอัตรา PR ที่ถูก merge หลัง review อัตรา alert ที่ปิดจริง และเวลาที่ประหยัดได้จากงานมือ ถ้า agent เปิด PR จำนวนมากแต่ทีมไม่มีเวลาทบทวน backlog แค่ย้ายจากหน้า alert ไปอยู่หน้า PR เท่านั้น ประสิทธิภาพที่แท้จริงต้องดูว่าเวลาตั้งแต่พบ alert ถึงปล่อย patch ลดลงโดยไม่เพิ่ม incident หลัง deploy

แนวปฏิบัติที่ปลอดภัย

เริ่มกับรีโปที่มี CI และ test ชัดเจน กำหนด reviewer ที่รับผิดชอบ alert ประเภทนั้น ตรวจ diff ทีละไฟล์และรัน test ของธุรกิจด้วย บันทึกเหตุผลเมื่อไม่รับ patch และใช้ข้อมูลนี้ปรับวิธีเลือก alert ครั้งต่อไป หาก patch แตะ authentication, authorization, serialization หรือการจัดการ secret ควรให้ผู้เชี่ยวชาญด้านนั้น review เพิ่ม แม้ CodeQL จะรายงานว่า alert เดิมไม่เกิดแล้ว

ข่าวนี้แสดงทิศทางที่เครื่องมือ security ไม่หยุดที่การเตือน แต่ช่วยเสนองานแก้ที่ตรวจย้อนกลับได้ อย่างไรก็ดี draft PR เป็นจุดเริ่มของการ review ไม่ใช่คำรับรองว่าโค้ดพร้อมใช้งานจริง

แหล่งข่าวและวันที่ประกาศ: GitHub Changelog, 15 ตุลาคม 2026