GitHub AI Scan เปิด GA ตรวจความเสี่ยงใน Pull Request เพิ่มจาก CodeQL

GitHub ประกาศวันที่ 15 ตุลาคม 2026 ว่า AI Scan สำหรับ pull request เปิดให้ใช้งานทั่วไปแล้ว ฟีเจอร์นี้เสริม CodeQL โดยมองหาปัญหาความปลอดภัยในโค้ดที่เปลี่ยน โดยเฉพาะภาษาและรูปแบบไฟล์ที่ CodeQL ยังไม่ครอบคลุมเต็มที่ เช่น PHP, Shell/Bash, Terraform HCL, Dockerfile, JSP สำหรับ Java และ Blazor สำหรับ C# สำหรับทีมพัฒนา ข่าวนี้เพิ่มทางเลือกให้เห็นความเสี่ยงตั้งแต่ช่วง review แต่ต้องเข้าใจชัดว่าผลจาก AI Scan เป็นคำแนะนำ ไม่ใช่เงื่อนไขบล็อก merge

AI Scan ทำงานในจุดไหนของกระบวนการ

เมื่อ repository เปิด code scanning และค่า AI Scan ที่มีผลกับรีโปอนุญาต ระบบจะรันบน pull request อัตโนมัติ ผลที่พบปรากฏข้างผลของ CodeQL ในแท็บ Conversation และ Files changed พร้อมสัญลักษณ์ AI เพื่อให้ผู้ทบทวนแยกแหล่งที่มาของ alert ได้ GitHub ระบุว่าบางผลมีคำอธิบายความเสี่ยงและข้อเสนอแก้ไขประกอบ วิธีนี้เหมาะกับการทบทวน diff ที่กำลังจะเข้าระบบ มากกว่ารอให้โค้ดอยู่บนสาขาหลักแล้วค่อยตรวจย้อนหลัง

ขอบเขตที่สำคัญคือผล AI Scan ยังเป็น advisory ไม่ทำให้ code scanning check ล้ม และไม่ใช้ ruleset บังคับให้ pull request ถูกบล็อกได้ หากองค์กรต้องการ gate ด้านความปลอดภัย ต้องยังมีนโยบาย review และเครื่องมือที่ทำหน้าที่นั้นแยกต่างหาก GitHub ยังระบุว่า AI Scan ไม่รันบน PR ที่มาจาก fork หรือ PR ที่ Dependabot สร้าง ทีมโอเพนซอร์สที่รับ contribution จากภายนอกจึงไม่ควรคาดว่าทุก PR จะผ่าน AI Scan เหมือนกัน

ต่างจาก CodeQL อย่างไร

CodeQL เป็นระบบวิเคราะห์โค้ดที่มี query และโมเดลข้อมูลเฉพาะภาษา AI Scan ถูกวางให้ช่วยค้นรูปแบบความเสี่ยงในช่องที่ CodeQL ยังไม่รองรับเต็ม การเห็นสองชุดผลใน UI เดียวกันช่วยให้ reviewer ตรวจร่วมกันได้ แต่ไม่ควรนับ alert ทุกตัวว่ามีความเชื่อมั่นเท่ากัน ผลจาก AI อาจตีความบริบทผิดหรือเสนอ patch ที่เปลี่ยนพฤติกรรมธุรกิจ ทีมจึงควรเปิดไฟล์ต้นทาง ดูเส้นทางข้อมูลจริง แล้วเขียน test ที่แสดงว่าปัญหาเกิดและถูกแก้ก่อนอนุมัติ

ตัวอย่างเช่น Dockerfile ที่คัดลอก secret เข้า image อาจถูกตรวจพบใน diff แต่การแก้จริงต้องดู build context, cache และวิธีส่ง secret ตอน build ด้วย หรือ Terraform ที่ให้สิทธิ์กว้างอาจเป็นเพียงส่วนหนึ่งของ policy อีกชั้นหนึ่ง AI Scan ช่วยชี้จุดเริ่มตรวจ แต่ไม่เห็นข้อกำหนดด้านการปฏิบัติงานทั้งหมดขององค์กรเสมอไป

ใครใช้ได้และมีค่าใช้จ่ายอย่างไร

GitHub ระบุว่าฟีเจอร์ใช้กับ public repository ทั้งขององค์กรและบัญชีบุคคล สำหรับ private และ internal repository ที่องค์กรเป็นเจ้าของ ต้องมี GitHub Code Security หรือ GitHub Advanced Security และไม่จำเป็นต้องมีใบอนุญาต GitHub Copilot แยกต่างหาก อย่างไรก็ตาม AI Scan ใช้ Code Security AI Credits การใช้จะแสดงในส่วน AI usage ของ enterprise billing ภายใต้ Advanced Security และผู้ดูแลตั้งงบระดับ SKU ได้ ทีมที่มี PR จำนวนมากควรทดลองในกลุ่มรีโปก่อนและดูจำนวนเครดิตที่ใช้จริง

การเปิดใช้กับทุกรีโปโดยไม่กำหนดเจ้าของการ triage อาจสร้าง alert ที่ไม่มีใครปิดหรือแก้ ประโยชน์เชิงปฏิบัติคือกำหนด SLA สำหรับผลที่มีความเสี่ยงสูง ระบุวิธีปิด false positive พร้อมเหตุผล และดูแนวโน้มว่าผลพบก่อน merge ช่วยลดปัญหาหลัง deploy หรือไม่ หาก alert บางชนิดเกิดซ้ำ ควรแก้ที่ template, linter หรือคู่มือเขียนโค้ดของทีมเพื่อป้องกันตั้งแต่ต้น

วิธีประเมินก่อนขยายการใช้

เลือกรีโปที่มีภาษาในรายการที่ CodeQL ยังครอบคลุมไม่ครบ เปิดค่า AI Scan และเก็บตัวอย่าง PR ที่รู้ผลลัพธ์อยู่แล้ว วัดจำนวนผลที่นำไปแก้ได้จริง จำนวน false positive เวลาที่ reviewer ใช้ และเครดิตต่อหนึ่งผลที่มีคุณค่า อย่าดูเพียงจำนวน alert รวม เพราะตัวเลขมากไม่ได้แปลว่าระบบปลอดภัยขึ้น หาก PR จาก fork เป็นช่องทางหลัก ควรวางวิธีตรวจเสริมสำหรับกลุ่มนั้นให้ชัด

ข่าว GA วันที่ 15 ตุลาคมนี้ทำให้ AI Scan เป็นเครื่องมือ review ด้านความปลอดภัยอีกชั้นหนึ่ง โดยเฉพาะไฟล์และภาษาที่อาจหลุดจากการวิเคราะห์เดิม แต่การตัดสินใจแก้และ merge ยังคงเป็นหน้าที่ของทีม พร้อม test และการกำหนดสิทธิ์ CI ที่เหมาะสม

แหล่งข่าวและวันที่ประกาศ: GitHub Changelog, 15 ตุลาคม 2026