代码安全里最耗人的环节，往往不是发现漏洞，而是把成堆的告警一条条修掉。GitHub 在 10 月 15 日宣布，面向代码扫描告警的 Copilot 智能体自动修复功能正式可用，把“排查、修复、复验、提 PR”这一整条链路交给了智能体。

它和以前的“生成修复”有什么不同

此前 Copilot 提供的“生成修复”更像一次性的建议：针对告警给一段修复代码，剩下的事还是得人来做。这次的智能体自动修复则是一个完整的代理流程：

1. 排查：接到告警后，智能体像开发者一样翻阅仓库里的相关文件，不只盯着告警指向的那几行代码。
2. 生成修复：根据排查结果给出修复方案。
3. 复验：用代码分析引擎 CodeQL 重新运行检查，确认告警确实消失；如果没通过，就继续迭代修改。
4. 提交草稿 PR：最后生成一份草稿 Pull Request，里面写清修复摘要、告警为何消失、以及做过哪些验证步骤。

一次最多可以从列表或安全活动里选中 25 条告警，指派给 Copilot 在一个 PR 里集中处理。不过要注意，它只处理默认分支上的告警，仅在 PR 或其他分支上出现的告警不在处理范围内。

谁能用，怎么开通

这项功能面向 GitHub Enterprise Cloud 上使用 Code Security 或 Advanced Security 的客户，也包括可指定数据所在地的数据驻留版本。开通需要两层设置：先由企业管理员在 Advanced Security 策略里启用智能体自动修复，再由组织或仓库管理员在 Code Security 设置里打开，并指定 Copilot 的计费方式。开通之后，告警页面原来的免费“生成修复”按钮会变成“指派给 Copilot”。

费用方面，处理过程会消耗 Code Security 预算里的 AI Credits，以及 GitHub Actions 的运行时间，用量可以在企业的计费页面“AI usage”里按 Advanced Security 产品查看，还可以按计费项设置预算。也就是说，它不是免费无限用的，启用前要先把预算和归属想清楚。

怎么用才稳妥

智能体自动修复最大的价值，是把“修漏洞”从体力活变成“审修复”的工作。但有三点不能省：

1. CodeQL 复验通过不等于完全正确：复验只能证明告警消失了，不能证明修复没有引入新的功能回归，尤其在涉及认证、权限的代码上，一处“看起来干净”的补丁也可能藏着行为变化。
2. 草稿 PR 就是用来审的：不要绕过审查直接合并。可以在 PR 里用评论给智能体追加指示，让它按你的要求调整。
3. 先从小批量开始：先用少量、低风险的告警试跑，确认修复质量与团队审查流程能接得住，再扩大到批量处理。

怎么看这次更新

代码安全正在从“提示问题”走向“验证驱动的自动修复”：因为 CodeQL 告警有一个明确的二值信号——消失或没消失，智能体可以围绕这个信号自动迭代，这正是智能体自动化最容易先落地的场景。真正决定它好不好用的，不是它能一次处理多少条告警，而是团队能不能把“自动修复 + 复验 + 人工审查”变成一条可靠的流水线。把修复交给智能体，把合并的决定权留给人，这个分工才是这次功能正确的打开方式。