Imagina que cada vez que alguien propone un cambio en tu repositorio, un revisor extra lee el código y te avisa si abrió un hueco de seguridad. Eso es lo que hace AI Scan, una función de GitHub que desde el 15 de octubre de 2026 ya está disponible para todos, después de varios meses en vista previa.
Lo interesante es a quién le sirve: no sustituye a CodeQL, el analizador clásico de GitHub, sino que cubre lenguajes y archivos que ese analizador no revisa, como PHP, scripts de Bash, configuraciones de Terraform y Dockerfiles. Si mantienes un sitio en PHP o despliegas con contenedores, esto te toca.
¿Qué pasó?
GitHub anunció en su registro de cambios que AI Scan para pull requests pasó a disponibilidad general. Un pull request es la propuesta de cambios que alguien envía a un repositorio para que otros la revisen antes de mezclarla con el código principal.
La función usa un motor basado en inteligencia artificial para buscar vulnerabilidades en los cambios de cada pull request. Según GitHub, complementa a CodeQL en lenguajes y frameworks que este no cubre hoy: PHP, Shell y Bash, Terraform (HCL), Dockerfiles, JSP para Java y Blazor para C#, entre otros.
Los hallazgos aparecen en las pestañas de conversación y de archivos cambiados del pull request, marcados con un indicador de «AI». Pueden incluir una explicación del riesgo y una sugerencia de corrección automática. Eso sí, son solo avisos: no hacen fallar la revisión de código ni pueden bloquear una mezcla mediante las reglas del repositorio.
El mismo día GitHub liberó también la corrección automática agéntica para alertas de escaneo de código. Según el anuncio, puedes asignar hasta 25 alertas a Copilot y un agente investiga el código, propone una corrección, vuelve a correr CodeQL para confirmar que la alerta se cierra y abre un pull request en borrador para que lo revises. Esta parte requiere GitHub Enterprise Cloud.
¿Por qué te importa?
Hasta ahora, mucho código que corre en servidores reales quedaba fuera del radar de los analizadores automáticos de GitHub. Un script de despliegue en Bash o un Dockerfile mal armado pueden abrir la puerta a un atacante igual que un error en JavaScript. Con AI Scan, esos archivos también reciben una revisión al momento de proponer cambios.
La buena noticia para proyectos personales y de código abierto es el costo: AI Scan funciona en repositorios públicos de organizaciones o de cuentas personales sin pagar licencia de Copilot. Para repositorios privados o internos de una organización sí hace falta GitHub Code Security o GitHub Advanced Security, y el uso consume créditos de IA de Code Security.
También hay límites que debes conocer. La documentación de GitHub aclara que no revisa pull requests que vengan de forks ni los que crea Dependabot, que no sirve para repositorios privados de cuentas personales y que puede dar falsos positivos. Además, como los avisos no bloquean nada, sigue dependiendo de que alguien los lea.
¿Qué puedes hacer?
- Si tienes un repositorio público, revisa que el escaneo de código esté activo y prende el interruptor «AI Scan for pull requests» en la sección de Code scanning de la configuración.
- Si administras una organización, recuerda que la política empresarial viene en «No permitido» por defecto; un propietario o un administrador de seguridad debe habilitarla para que los repositorios la hereden.
- Si usas repositorios privados, pon un presupuesto a los créditos de IA de Code Security antes de activarlo, porque el cobro empieza en cuanto se escanea el primer pull request que califique.
- Trata cada hallazgo como una pista, no como un veredicto: confirma el problema antes de aplicar la corrección sugerida y da tu voto de pulgar arriba o abajo para mejorar la herramienta.
- No retires CodeQL ni tus otros analizadores. AI Scan solo cubre lo que ellos no revisan, y GitHub lo presenta como un complemento.
Si trabajas con PHP, Bash o infraestructura como código, vale la pena probarlo esta misma semana en un proyecto de prueba y ver qué tanto ruido genera antes de llevarlo a tus repositorios de trabajo.
Sigue leyendo
- Anthropic revisará gratis la seguridad de proyectos de código abierto
- GhostAction regresa: falsas auditorías roban llaves en GitHub
Fuentes
- GitHub Changelog: AI Scan for pull requests generally available
- GitHub Changelog: Agentic autofix for code scanning alerts general availability
- GitHub Docs: AI Scan for pull requests
- TechEnclave: GitHub adds AI security scans and draft fixes for vulnerable code