GitHub Copilot（コパイロット）アプリに「security extension」コードスキャンの警告を一覧し、Copilotに説明・修正させられる（パブリックプレビュー）

GitHubは2026年10月28日（米国時間）、Copilotアプリの拡張機能「GitHub security extension」をパブリックプレビューで公開しました。リポジトリのGitHub code scanning（コードスキャン）の警告をアプリの中で一覧でき、選んだ警告をGitHub Copilot（コパイロット）に説明（Explain）させたり、修正（Fix）させたりできます。公式の変更履歴の公開は米国太平洋時間の8時45分で、日本時間では10月29日0時45分にあたります。

3行まとめ

1. GitHubが2026年10月28日、Copilotアプリにsecurity extensionをパブリックプレビューで追加。コードスキャンの警告を重大度順に一覧し、Explain／Fixを依頼できる
2. Copilotの修正はローカルの作業コピーだけで、commitもpushもしない。入れ方は copilot plugin install github-security@awesome-copilot かアプリの Customize から
3. Explain・Fix・/security-review はAIクレジットを消費し、閲覧と却下は消費しない。対象はgithub.comとデータ所在地指定のEnterprise Cloudで、Enterprise Serverは非対応

本記事の内容は、日本時間10月29日1時台に公式ページで確認したものです。

何ができるようになったのか

GitHubの変更履歴は、これまでコードスキャンの警告を直すには github.com 上の警告と、エディタ上のコードを行き来する必要があったと説明しています。security extensionは、警告を見つけてから直すまでを1か所で行えるようにするものだと書かれています。

すでにリポジトリでコードスキャンを動かしている場合、拡張機能は開いている警告を次のように扱います（以下はGitHubの説明です）。

• 開いている警告をすべて、重大度順に一覧できる。検索とフィルターで絞り込める
• 警告を開くと詳細と該当コードが見られる。文脈が必要なときは github.com の警告ページを開ける
• 1件以上の警告を選び、CopilotにExplainまたはFixを頼める
• 警告に紐づくプルリクエストが表示され、すでに誰かが修正に取りかかっているか分かる
• 直さない警告は却下（dismiss）できる。組織が委任された警告の却下（delegated alert dismissal）を使っている場合は、拡張機能が却下を承認に回す

修正の扱いについて、変更履歴には次の記載があります。

Copilot only makes fixes in your local working copy and doesn’t commit or push anything.

（Copilotは修正をローカルの作業コピーにだけ行い、commitもpushもしません。）

GitHubによると、変更はアプリ内で確認しながら手直しを重ね、準備ができたら自分でpushする流れです。また、チャットでCopilotに警告について尋ねることもできます。その場合、Copilotは拡張機能のツールを他のツールと同じように、ツール権限の設定に従って使うと説明されています。

プルリクエストを開く前の確認もできる

拡張機能は既存の警告だけでなく、手元の変更に対しても使えます。

• 現在の変更に対して /security-review を実行し、その結果を既存の警告の隣に表示できる
• 最後のレビューからコードが変わると拡張機能が知らせてくれるので、再実行のタイミングが分かる

使い始めるには何をするのか

導入は2通りです。

GitHubによると、インストールすると拡張機能は自動で有効になり、リポジトリのセッションから Security canvas を開けます。

誰が使えるのか・料金は

提供範囲と課金の記載をまとめます。いずれもGitHubの変更履歴によるものです。

AIクレジットの具体的な単価は、今回確認した変更履歴のページには書かれていませんでした。

以前の発表と何が違うのか

当サイトでは10月15日に、コードスキャンの警告をCopilotに任せる「Agentic autofix」の一般提供を取り上げました（GitHub、コードスキャンの警告をCopilotに任せる「Agentic autofix」を一般提供）。今回取得した変更履歴のページには、その機能への言及はありませんでした。今回の発表の範囲は、Copilotアプリの中で警告を一覧し、手元の作業コピーで説明・修正を試すところまでです。両者の関係は今回確認したページからは判断できないため、ここでは別の発表として扱います。

Copilotアプリ関連では、複数リポジトリをまとめて任せる「Projects」や「Computer use」を取り上げた記事もあります（GitHub Copilotアプリに「Projects」と「Computer use」）。

公式ページを見て気づいたこと

日本時間10月29日1時台に変更履歴のページを取得して読み、手順を確認しました。気づいたのは、課金の書き方の線引きです。Explain・Fix・/security-review はAIクレジットを使う一方、警告の閲覧と却下は使わないと明記されています。この記載からは、警告の棚卸しだけならクレジットを使わず、Copilotに説明・修正・レビューをさせる段階から使う、と読めます。なお、私はこの拡張機能を実際には試していません。以上はすべて公式ページの記載から読み取ったものです。

今回の確認で分からなかったこと

• 日本での扱い: 今回取得した変更履歴のページには、提供する国や地域の制限、対応言語についての記載がありませんでした（地域に関わる記載は、対象としての「データ所在地指定のGitHub Enterprise Cloud」だけです）。日本語の画面や日本のアカウントでの動作は、このページからは確認できていません
• AIクレジットの量: 1回のExplainやFixでどれだけ消費するかは、取得したページに書かれていません。選択したモデルによって変わるかどうかも不明です
• 詳しい仕様: 変更履歴は詳細を拡張機能のドキュメントに譲っています。本記事ではドキュメント本体は取得しておらず、そちらにしかない制限や手順がある可能性があります
• 性能や精度: 修正がどれだけ正しいかを示す数字は、今回の変更履歴にはありません

出典と確認時刻

• GitHub Changelog「Security extension for the GitHub Copilot app」: https://github.blog/changelog/2026-10-28-security-extension-for-the-github-copilot-app

確認した時刻は日本時間2026年10月29日1時台です。変更履歴の公開時刻は、ページのメタデータでは2026年10月28日8時45分（太平洋時間）でした。

本記事は続報があり次第更新します。