La correction automatique vous fournit des recommandations ciblées pour vous aider à corriger code scanning les alertes afin d’éviter d’introduire de nouvelles vulnérabilités de sécurité. Les correctifs potentiels sont générés automatiquement par des modèles de langage volumineux (LLMs) à l’aide de données provenant de la base de code et de l’analyse code scanning .
Fonctionnement de la correction automatique
Autofix traduit la description et l’emplacement d’une alerte code scanning en modifications de code qui peuvent la corriger. Il s’interface avec le modèle GPT-5.3-Codex de langage volumineux d’OpenAI, qui dispose de fonctionnalités de génération suffisantes pour produire des correctifs suggérés dans le code et du texte explicatif pour ces correctifs.
Il existe deux façons d’obtenir un correctif pour une alerte : correction automatique agentique et Copilot correction automatique. Si Agent cloud Copilot est disponible dans un dépôt, l’attribution d’une alerte utilise la correction automatique assistée par agent au lieu de Copilot correction automatique.
Correction automatique agentique
Remarque
Cette fonctionnalité est actuellement en préversion publique et peut être modifiée.
Attribuez une code scanning alerte à Copilot pour qu’il la résolve à votre place. L’attribution d’une alerte démarre une session d’agent : Agent cloud Copilot appelle des outils pour explorer votre codebase au-delà du fichier concerné, génère un correctif, le valide (par exemple, en réexécutant CodeQL) et itère jusqu’à ce qu’il ouvre une demande de tirage avec les modifications. Consultez « Résoudre les alertes d'analyse de code ».
N'oubliez pas les éléments suivants :
- La correction automatique par agent nécessite que Agent cloud Copilot et Copilot correction automatique soient disponibles dans le dépôt. Si Agent cloud Copilot n’est pas disponible, l’attribution d’une alerte revient à Copilot correction automatique à la place.
- Chaque session de correction automatique agentique est facturée comme une session Agent cloud Copilot et consomme AI credits. Consultez « À propos de GitHub Copilot agent cloud ».
- Copilot suit les instructions personnalisées configurées pour le référentiel ou l’organisation lorsqu’elle génère un correctif.
- La correction automatique agentique fonctionne dans la mesure du possible. Copilot valide les correctifs en réexécutant CodeQL à l’aide de la suite de requêtes d’analyse du code. Il ne peut donc pas confirmer qu’un correctif résout les alertes générées par des requêtes personnalisées ou la suite de requêtes étendues à la sécurité. La qualité des alertes provenant d’outils tiers n’est pas garantie.
Obtention d’un correctif suggéré avec Copilot correction automatique
Copilot correction automatique génère une seule correction proposée pour une alerte, que vous examinez et appliquez vous-même.
Vous n’avez pas besoin d’un abonnement à GitHub Copilot pour utiliser GitHub Copilot fixation automatique, et cela ne consomme pas AI credits. Copilot correction automatique est disponible pour tous les référentiels publics sur GitHub.com, ainsi que les dépôts internes ou privés détenus par les organisations et les entreprises disposant d’une licence pour GitHub Code Security.
Copilot correction automatique est autorisé par défaut et activé pour chaque référentiel qui utilise CodeQL, qu’il utilise la configuration par défaut ou avancée pour code scanning. Il n’existe aucune étape distincte pour activer Copilot correction automatique : activer code scanning avec CodeQL est suffisant. Consultez « Définition de la configuration par défaut pour l’analyse du code ».
Les administrateurs au niveau de l’entreprise, de l’organisation et du référentiel peuvent choisir de désactiver Copilot correction automatique. Si Copilot correction automatique elle a été désactivée à votre niveau, vous pouvez la réactiver en suivant les mêmes étapes que celles utilisées pour la désactiver et en sélectionnant l’option permettant d’autoriser Copilot correction automatique. Pour savoir comment gérer Copilot correction automatique à chaque niveau, consultez Désactivation de la correction automatique pour les alertes de sécurité d’analyse du code.