GitHub rend disponible pour tous l'autocorrection agentique des alertes d'analyse de code

GitHub a annoncé le 15 octobre la disponibilité générale de l'autocorrection agentique (« agentic autofix ») pour les alertes d'analyse de code. La fonction confie une alerte de sécurité à l'agent cloud de Copilot, qui parcourt la base de code pour produire et vérifier un correctif, au lieu de proposer un simple extrait isolé.

Fonctionnement

Lorsqu'un développeur attribue une alerte à Copilot, l'agent examine les fichiers concernés, rédige une modification et relance CodeQL pour s'assurer que l'alerte est bien fermée. En cas d'échec, il recommence. Le résultat prend la forme d'une demande de tirage en brouillon qui résume le correctif, explique pourquoi il règle l'alerte et détaille les étapes de validation. On peut demander des ajustements en commentant la demande de tirage ou depuis la session de l'onglet Agents. Jusqu'à 25 alertes peuvent être regroupées dans une même demande.

Pendant la préversion, GitHub indiquait qu'un correctif prenait généralement de deux à quatre minutes et pouvait être déclenché pour une alerte, plusieurs alertes, une campagne de sécurité ou via l'API REST. Une note ajoutée à l'annonce de préversion précisait que la fonction couvre les alertes de CodeQL comme celles d'outils d'analyse tiers.

Pour qui et à quel coût ?

La disponibilité générale vise les clients GitHub Code Security et GitHub Advanced Security sur GitHub Enterprise Cloud, y compris l'offre avec résidence des données. Un administrateur d'entreprise doit d'abord activer la politique correspondante, puis les administrateurs d'organisation ou de dépôt peuvent l'activer ; un moyen de facturation Copilot doit aussi être défini. L'utilisation puise dans les crédits IA du budget Code Security et dans les minutes GitHub Actions. Le journal des modifications ne donne pas de tarif unitaire, mais des budgets peuvent être fixés pour ces crédits.

Une fois la fonction activée, le bouton « Assign to Copilot » remplace l'option gratuite « Generate Fix » sur chaque alerte : les organisations qui passent au mode agentique renoncent donc à la suggestion ponctuelle gratuite.

Limites

La fonction ne traite que les alertes de la branche par défaut ; celles qui n'existent que dans une demande de tirage ou une autre branche ne peuvent pas être attribuées. Les correctifs restent des brouillons, si bien que la relecture humaine demeure nécessaire. Comme l'agent valide son travail avec CodeQL et non avec une suite de tests complète, une alerte fermée ne garantit pas à elle seule que le comportement de l'application est inchangé : les équipes ont intérêt à faire passer leur intégration continue sur ces demandes de tirage.