GitHub publicó una extensión de seguridad para la app de GitHub Copilot que permite revisar, explicar y corregir alertas de code scanning sin salir de la app. También añade /security-review para revisar los cambios que todavía no has subido, y las correcciones se escriben solo en tu copia local: nada se commitea, nada se pushea y no se abre ningún pull request.
Estado al momento de publicar esta nota (31 de octubre de 2026): la extensión está en public preview y puede cambiar. GitHub no había anunciado una fecha de disponibilidad general, y los requisitos por plan que verás más abajo son lo que más probablemente cambie cuando salga de preview.
¿Qué es la extensión de seguridad de GitHub Copilot?
Es un plugin publicado por GitHub, llamado github-security y distribuido a través de awesome-copilot, que añade un Security canvas a las sesiones de la app de Copilot. Desde ese canvas puedes:
- Ver las alertas de code scanning abiertas de un repositorio, ordenadas por severidad, con búsqueda y filtros.
- Abrir una alerta para ver su descripción, su severidad y el código afectado, o saltar a la página completa de la alerta en GitHub.
- Seleccionar una o varias alertas y pedirle a Copilot que las explique (Explain) o que las corrija (Fix).
- Ver los pull requests vinculados, para saber si alguien ya está trabajando en la corrección.
- Descartar las alertas que no piensas corregir.
- Ejecutar
/security-reviewsobre tus cambios actuales y ver los hallazgos junto a las alertas existentes.
También puedes preguntarle por tus alertas en el chat. Copilot usa las herramientas de la extensión como cualquier otra herramienta, según tu configuración de permisos.
Un límite que conviene tener claro desde el principio: la extensión muestra solo alertas de code scanning. Las alertas de Dependabot y de secret scanning no aparecen en el canvas.
Funciona en GitHub.com y en GitHub Enterprise Cloud con data residency. GitHub Enterprise Server no está soportado.
¿Qué es code scanning y qué tiene que ver CodeQL?
Code scanning es la función de GitHub que analiza el código de un repositorio y genera alertas cuando encuentra un problema de seguridad. Esas alertas pueden venir de CodeQL, el motor de análisis propio de GitHub, o de herramientas de terceros que publican sus resultados en code scanning.
La extensión no escanea nada por sí misma: trabaja sobre las alertas que code scanning ya generó en tu repositorio. Por eso la parte de alertas solo está disponible donde code scanning está activado. La excepción es /security-review, que revisa tus cambios locales sin depender de code scanning (lo vemos más abajo).
¿Funciona con GitHub Copilot gratis? Qué necesita cada plan
Sí, en parte. GitHub indica que cualquier plan de Copilot puede instalar la extensión y ejecutar /security-review sobre cambios locales, sin code scanning y sin licencia de GitHub Code Security. Trabajar con las alertas existentes ya depende de cómo esté configurado el repositorio. Al momento de publicar esta nota, los requisitos eran estos:
| Lo que quieres hacer | Lo que necesitas |
|---|---|
Instalar la extensión y ejecutar /security-review sobre cambios locales |
Cualquier plan de Copilot. No necesitas code scanning ni licencia de GitHub Code Security |
| Ver, corregir y descartar alertas existentes | Code scanning activado en el repositorio y permiso para ver sus alertas |
| Lo mismo, en un repositorio privado | GitHub Code Security |
| Usarla con Copilot Business o Enterprise | Un administrador debe activar la política de la app de GitHub Copilot |
| Instalar plugins donde la empresa los restringe | Permiso para instalar github-security según los managed settings de la empresa |
| Descartar alertas | Permiso para descartar alertas de code scanning en el repositorio |
En resumen: cualquier desarrollador con Copilot tiene la revisión previa al pull request desde el primer día. La mitad de triaje de alertas requiere que code scanning ya esté funcionando en el repositorio. Ten en cuenta que, aunque el plan lo permita, las acciones de IA consumen AI Credits (ver más abajo).
¿Cómo se instala github-security?
Desde una terminal:
copilot plugin install github-security@awesome-copilot
O desde la app: en la barra lateral, haz clic en Customize, busca github-security y, en Plugins, haz clic en + Install junto a “github-security”.
El plugin y la extensión quedan activados automáticamente después de instalarlos.
¿Cómo ver las alertas de code scanning en la app de Copilot?
Se ven desde el Security canvas de una sesión del repositorio:
- Inicia una nueva sesión para el repositorio.
- Si el Security canvas no está abierto, haz clic en el ícono del canvas, pasa el cursor sobre Canvas y haz clic en Security.
- En la página de inicio del canvas, haz clic en Code scanning findings.
- Para buscar o filtrar, usa el control de la esquina superior derecha del canvas.
- Haz clic en el título de una alerta para ver su descripción, su severidad y el código afectado.
Para abrir la alerta en GitHub, pasa el cursor sobre su fila, haz clic en el ícono y luego en Open in browser.
¿Cómo arreglar alertas de code scanning con Copilot?
Seleccionas las alertas y eliges Explain o Fix. Para una sola alerta, haz clic en ella o pasa el cursor sobre ella en la lista para que aparezcan los botones. Para varias, marca sus casillas. Después:
- Explain le pide al agente que explique las vulnerabilidades.
- Fix le pide al agente que modifique tu código para resolverlas.
Si pediste una corrección, revisa el diff y ejecuta los tests relevantes de tu proyecto. Puedes seguir la conversación para ajustar la corrección.
Dos detalles hacen que esto sirva en un flujo de revisión real en lugar de convertirse en un riesgo:
- La corrección solo cambia tu copia local. No hace commit, no hace push y no abre un pull request. Tú haces commit y push con tu proceso de revisión habitual.
- Una corrección local no cierra la alerta. Eso lo decide code scanning, cuando la corrección llega a la rama afectada y el análisis se vuelve a ejecutar.
Si solo quieres una explicación en el chat sin que se toque ningún archivo, la documentación de GitHub recomienda incluir “Do not change any files.” en el prompt.
¿Cómo revisar tus cambios con /security-review antes del pull request?
Se ejecuta sobre una sesión con cambios en curso, y es la parte que funciona en cualquier plan, con o sin code scanning:
- Abre una sesión activa con cambios en curso.
- En la página de inicio del Security canvas, haz clic en Start review, debajo de “Security review”, o escribe
/security-reviewen el cuadro del prompt y pulsaEnter. - Selecciona los hallazgos y haz clic en Explain o Fix.
- Después de cambiar el código, vuelve a ejecutar la revisión. El canvas indica cuándo el código cambió desde la última revisión.
- Para ver resultados anteriores, haz clic en Last review results en la página de inicio.
GitHub es explícito sobre el alcance: es una revisión enfocada en tus cambios, no una auditoría de seguridad completa ni un reemplazo de code scanning. Ejecutarla tampoco activa code scanning en el repositorio.
Si quieres una revisión de seguridad con IA fuera del ecosistema de GitHub, el enfoque es parecido al del skill que liberó Cloudflare: Cómo auditar la seguridad de tu código con IA usando el skill que liberó Cloudflare.
¿Qué pasa cuando descartas una alerta?
A diferencia de una corrección, descartar una alerta sí la actualiza en GitHub.
- Haz clic en el ícono de descartar en la parte superior de la página de detalles de la alerta, o pasa el cursor sobre su fila en la lista y haz clic en el mismo ícono.
- Haz clic en Dismiss.
- Selecciona un motivo y añade un comentario.
- Haz clic en Dismiss finding, o en Submit request si se requiere aprobación.
Si tu organización usa delegated alert dismissal, la alerta sigue abierta hasta que un revisor autorizado apruebe la solicitud, y esa aprobación se hace en GitHub.
¿Cuántos AI Credits consume?
Consume AI Credits solo en las acciones de IA. Explain, Fix e iniciar una revisión de seguridad usan el modelo que tengas seleccionado en la app y consumen AI Credits como cualquier otro prompt. Ver alertas y descartarlas no usa IA.
GitHub no publica una cifra por acción, así que el costo depende del modelo seleccionado y de cuánto código cubre la revisión. Si ya estás controlando el gasto, aplican los mismos límites que para el resto de Copilot: GitHub Copilot AI Credits: cómo poner un tope al gasto de tus agentes antes de que llegue la factura.
¿Extensión de seguridad o Copilot Autofix?
Depende de dónde quieras corregir: la extensión trabaja en tu copia local antes del pull request, y Copilot Autofix trabaja en GitHub y abre un pull request. Las dos usan Copilot para corregir alertas de code scanning, pero producen cosas distintas.
Hay dos Autofix. El clásico sugiere correcciones en los pull requests, no requiere suscripción a Copilot y está disponible en repositorios públicos y en repositorios privados con GitHub Code Security. El agéntico, que pasó a disponibilidad general el 15 de octubre de 2026, va más allá: le asignas la alerta a Copilot y él abre el pull request. La tabla compara la extensión con este último.
| Extensión de seguridad (app de Copilot) | Agentic autofix (github.com) | |
|---|---|---|
| Estado | Public preview | Disponibilidad general |
| Dónde funciona | En tu sesión de la app de Copilot, sobre tu copia local | En GitHub, al asignarle una alerta a Copilot |
| Qué produce | Cambios en tu copia local: sin commit, sin push, sin PR | Un draft pull request con un resumen de la corrección y los pasos de validación |
| Validación | Tú revisas el diff y ejecutas tus tests | Copilot vuelve a ejecutar CodeQL e itera antes de abrir el PR |
| Qué alertas | Alertas existentes más los hallazgos de /security-review sobre cambios sin commitear |
Alertas de la rama por defecto; hasta 25 a la vez en un solo PR |
| Requisitos | Cualquier plan de Copilot para /security-review; code scanning (y Code Security en repos privados) para las alertas |
GitHub Code Security o Advanced Security en Enterprise Cloud, una política de empresa y un método de facturación de Copilot |
| Facturación | AI Credits, como cualquier prompt | AI Credits del presupuesto de Code Security, más minutos de GitHub Actions |
La versión corta: Autofix sirve para limpiar un backlog de alertas de la rama por defecto mediante pull requests. La extensión es para el desarrollador que quiere entender y corregir problemas en su propia copia de trabajo antes de que algo salga de su máquina.
¿Qué no ha documentado GitHub todavía?
Al momento de publicar esta nota, GitHub no había publicado:
- Una fecha de disponibilidad general.
- Una lista de lenguajes o tipos de alerta soportados más allá de “alertas de code scanning”.
- El costo en AI Credits por acción de Explain, Fix o
/security-review.
La documentación tampoco detalla qué motivos de descarte hay disponibles.
¿Y tú? Cuando aparece una alerta de code scanning en tu equipo, ¿quién la corrige: quien escribió el cambio o quien se ocupa de seguridad?
- Antes del PR, en mi copia local
- En el PR, con correcciones sugeridas
- En un backlog aparte, por prioridad
- Prefiero otra opción (cuéntanos cuál)
Comenta abajo o, si este artículo te llegó por correo, responde directamente al email: tu respuesta se publica aquí.
Relacionado: Cómo auditar la seguridad de tu código con IA usando el skill que liberó Cloudflare