GitHub lanza en disponibilidad general la autocorrección agéntica de alertas de análisis de código

GitHub anunció el 15 de octubre la disponibilidad general de la autocorrección agéntica («agentic autofix») para alertas de análisis de código. La función entrega la alerta de seguridad al agente en la nube de Copilot, que recorre el código para generar y comprobar un arreglo, en lugar de sugerir un parche aislado.

Cómo funciona

Cuando un desarrollador asigna una alerta a Copilot, el agente revisa los archivos relevantes, redacta un cambio y vuelve a ejecutar CodeQL para verificar que la alerta queda cerrada. Si no lo consigue, lo intenta de nuevo. El resultado es un pull request en borrador que resume el arreglo, explica por qué resuelve la alerta y enumera los pasos de validación. Se pueden pedir cambios comentando en el pull request o desde la sesión en la pestaña Agents. Es posible agrupar hasta 25 alertas en un mismo pull request.

Durante la vista previa, GitHub indicó que cada arreglo solía tardar entre dos y cuatro minutos y que podía lanzarse para una alerta, varias, una campaña de seguridad o mediante la API REST. Una nota añadida al anuncio de la vista previa aclaraba que cubre tanto alertas de CodeQL como de escáneres de terceros.

Quién puede usarla y cuánto cuesta

La disponibilidad general está dirigida a clientes de GitHub Code Security y GitHub Advanced Security en GitHub Enterprise Cloud, incluida la modalidad con residencia de datos. Primero un administrador de empresa debe habilitar la política; después, los administradores de organización o de repositorio pueden activarla, y hace falta un método de facturación de Copilot. El uso consume créditos de IA del presupuesto de Code Security y minutos de GitHub Actions. El registro de cambios no detalla precios unitarios, aunque permite fijar presupuestos para esos créditos.

Al activarla, el botón «Assign to Copilot» sustituye a la opción gratuita «Generate Fix» en cada alerta, de modo que las organizaciones que adopten el flujo agéntico renuncian a la sugerencia puntual gratuita.

Limitaciones

Solo funciona con alertas de la rama predeterminada; las que aparecen únicamente en pull requests u otras ramas no pueden asignarse. Los arreglos llegan como borradores, así que la revisión humana sigue siendo parte del proceso. Como el agente valida con CodeQL y no con una batería de pruebas completa, que una alerta se cierre no garantiza por sí solo que el comportamiento de la aplicación no cambie, y conviene que la integración continua de cada equipo se ejecute sobre estos pull requests.