GitHub publicou uma extensão de segurança para o app do GitHub Copilot que permite revisar, explicar e corrigir alertas de code scanning sem sair do app. Também adiciona /security-review para revisar as alterações que você ainda não fez commit, e as correções são escritas apenas na sua cópia local: nada é commitado, nada é pushed e nenhum pull request é aberto.
Status no momento da publicação desta nota (31 de outubro de 2026): a extensão está em public preview e pode mudar. GitHub não havia anunciado uma data de disponibilidade geral, e os requisitos por plano que você verá abaixo são o que provavelmente mais mudará quando sair de preview.
O que é a extensão de segurança do GitHub Copilot?
É um plugin publicado pelo GitHub, chamado github-security e distribuído através de awesome-copilot, que adiciona um Security canvas às sessões do app do Copilot. A partir desse canvas você pode:
- Ver as alertas de code scanning abertas de um repositório, ordenadas por severidade, com busca e filtros.
- Abrir uma alerta para ver sua descrição, sua severidade e o código afetado, ou ir para a página completa da alerta no GitHub.
- Selecionar uma ou várias alertas e pedir ao Copilot que as explique (Explain) ou que as corrija (Fix).
- Ver os pull requests vinculados, para saber se alguém já está trabalhando na correção.
- Descartar as alertas que você não pretende corrigir.
- Executar
/security-reviewnas suas alterações atuais e ver os achados junto com as alertas existentes.
Também pode perguntar sobre suas alertas no chat. O Copilot usa as ferramentas da extensão como qualquer outra ferramenta, de acordo com sua configuração de permissões.
Uma limitação que convém deixar clara desde o princípio: a extensão mostra apenas alertas de code scanning. As alertas de Dependabot e de secret scanning não aparecem no canvas.
Funciona no GitHub.com e no GitHub Enterprise Cloud com data residency. GitHub Enterprise Server não é suportado.
O que é code scanning e o que tem a ver com CodeQL?
Code scanning é a função do GitHub que analisa o código de um repositório e gera alertas quando encontra um problema de segurança. Essas alertas podem vir do CodeQL, o motor de análise próprio do GitHub, ou de ferramentas de terceiros que publicam seus resultados em code scanning.
A extensão não escaneia nada por si mesma: funciona sobre as alertas que code scanning já gerou no seu repositório. Por isso a parte de alertas só está disponível onde code scanning está ativado. A exceção é /security-review, que revisa suas alterações locais sem depender de code scanning (vemos mais abaixo).
Funciona com GitHub Copilot grátis? O que cada plano precisa
Sim, em parte. GitHub indica que qualquer plano de Copilot pode instalar a extensão e executar /security-review em alterações locais, sem code scanning e sem licença de GitHub Code Security. Trabalhar com as alertas existentes já depende de como está configurado o repositório. No momento da publicação desta nota, os requisitos eram estes:
| O que você quer fazer | O que você precisa |
|---|---|
Instalar a extensão e executar /security-review em alterações locais |
Qualquer plano de Copilot. Você não precisa de code scanning nem de licença de GitHub Code Security |
| Ver, corrigir e descartar alertas existentes | Code scanning ativado no repositório e permissão para ver suas alertas |
| O mesmo, em um repositório privado | GitHub Code Security |
| Usá-la com Copilot Business ou Enterprise | Um administrador deve ativar a política do app do GitHub Copilot |
| Instalar plugins onde a empresa os restringe | Permissão para instalar github-security de acordo com os managed settings da empresa |
| Descartar alertas | Permissão para descartar alertas de code scanning no repositório |
Em resumo: qualquer desenvolvedor com Copilot tem a revisão prévia ao pull request desde o primeiro dia. A triagem de alertas requer que code scanning já esteja funcionando no repositório. Lembre-se de que, embora o plano permita, as ações de IA consomem AI Credits (veja mais abaixo).
Como instalar github-security?
A partir de um terminal:
copilot plugin install github-security@awesome-copilot
Ou a partir do app: na barra lateral, clique em Customize, procure por github-security e, em Plugins, clique em + Install ao lado de “github-security”.
O plugin e a extensão são ativados automaticamente após serem instalados.
Como ver as alertas de code scanning no app do Copilot?
São vistas a partir do Security canvas de uma sessão do repositório:
- Inicie uma nova sessão para o repositório.
- Se o Security canvas não estiver aberto, clique no ícone do canvas, passe o cursor sobre Canvas e clique em Security.
- Na página inicial do canvas, clique em Code scanning findings.
- Para procurar ou filtrar, use o controle no canto superior direito do canvas.
- Clique no título de uma alerta para ver sua descrição, sua severidade e o código afetado.
Para abrir a alerta no GitHub, passe o cursor sobre sua linha, clique no ícone e depois em Open in browser.
Como corrigir alertas de code scanning com o Copilot?
Você seleciona as alertas e escolhe Explain ou Fix. Para uma única alerta, clique nela ou passe o cursor sobre ela na lista para que os botões apareçam. Para várias, marque suas caixas. Depois:
- Explain pede ao agente que explique as vulnerabilidades.
- Fix pede ao agente que modifique seu código para resolvê-las.
Se pediu uma correção, revise o diff e execute os testes relevantes do seu projeto. Você pode acompanhar a conversa para ajustar a correção.
Dois detalhes fazem isso funcionar em um fluxo de revisão real em vez de se tornar um risco:
- A correção apenas altera sua cópia local. Não faz commit, não faz push e não abre um pull request. Você faz commit e push com seu processo de revisão habitual.
- Uma correção local não fecha a alerta. Isso é decidido pelo code scanning, quando a correção chega ao branch afetado e a análise é executada novamente.
Se quer apenas uma explicação no chat sem que nenhum arquivo seja tocado, a documentação do GitHub recomenda incluir “Do not change any files.” no prompt.
Como revisar suas alterações com /security-review antes do pull request?
É executado em uma sessão com alterações em andamento, e é a parte que funciona em qualquer plano, com ou sem code scanning:
- Abra uma sessão ativa com alterações em andamento.
- Na página inicial do Security canvas, clique em Start review, abaixo de “Security review”, ou digite
/security-reviewna caixa de prompt e pressioneEnter. - Selecione os achados e clique em Explain ou Fix.
- Depois de alterar o código, execute a revisão novamente. O canvas indica quando o código foi alterado desde a última revisão.
- Para ver resultados anteriores, clique em Last review results na página inicial.
GitHub é explícito sobre o escopo: é uma revisão focada em suas alterações, não uma auditoria de segurança completa nem uma substituição do code scanning. Executá-la também não ativa code scanning no repositório.
Se quer uma revisão de segurança com IA fora do ecossistema do GitHub, a abordagem é parecida com a da habilidade que o Cloudflare liberou: Como auditar a segurança do seu código com IA usando a habilidade que o Cloudflare liberou.
O que acontece quando você descarta uma alerta?
Diferentemente de uma correção, descartar uma alerta sim a atualiza no GitHub.
- Clique no ícone de descartar na parte superior da página de detalhes da alerta, ou passe o cursor sobre sua linha na lista e clique no mesmo ícone.
- Clique em Dismiss.
- Selecione um motivo e adicione um comentário.
- Clique em Dismiss finding, ou em Submit request se a aprovação for necessária.
Se sua organização usa delegated alert dismissal, a alerta permanece aberta até que um revisor autorizado aprove a solicitação, e essa aprovação é feita no GitHub.
Quantos AI Credits consome?
Consome AI Credits apenas nas ações de IA. Explain, Fix e iniciar uma revisão de segurança usam o modelo que você tem selecionado no app e consomem AI Credits como qualquer outro prompt. Ver alertas e descartá-las não usa IA.
GitHub não publica uma cifra por ação, então o custo depende do modelo selecionado e de quanto código a revisão cobre. Se você já está controlando o gasto, se aplicam os mesmos limites que para o resto do Copilot: GitHub Copilot AI Credits: como colocar um teto no gasto de seus agentes antes de a fatura chegar.
Extensão de segurança ou Copilot Autofix?
Depende de onde você quer corrigir: a extensão funciona em sua cópia local antes do pull request, e o Copilot Autofix funciona no GitHub e abre um pull request. Os dois usam o Copilot para corrigir alertas de code scanning, mas produzem coisas diferentes.
Há dois Autofix. O clássico sugere correções nos pull requests, não requer assinatura do Copilot e está disponível em repositórios públicos e em repositórios privados com GitHub Code Security. O agêntico, que ficou disponível em geral em 15 de outubro de 2026, vai além: você atribui a alerta ao Copilot e ele abre o pull request. A tabela compara a extensão com este último.
| Extensão de segurança (app do Copilot) | Agentic autofix (github.com) | |
|---|---|---|
| Status | Public preview | Disponibilidade geral |
| Onde funciona | Em sua sessão do app do Copilot, em sua cópia local | No GitHub, ao atribuir uma alerta ao Copilot |
| O que produz | Alterações em sua cópia local: sem commit, sem push, sem PR | Um draft pull request com um resumo da correção e os passos de validação |
| Validação | Você revisa o diff e executa seus testes | O Copilot executa CodeQL novamente e itera antes de abrir o PR |
| Quais alertas | Alertas existentes mais os achados de /security-review em alterações não commitadas |
Alertas do branch padrão; até 25 por vez em um único PR |
| Requisitos | Qualquer plano de Copilot para /security-review; code scanning (e Code Security em repos privados) para as alertas |
GitHub Code Security ou Advanced Security no Enterprise Cloud, uma política de empresa e um método de faturamento do Copilot |
| Faturamento | AI Credits, como qualquer prompt | AI Credits do orçamento de Code Security, mais minutos de GitHub Actions |
Versão resumida: O Autofix serve para limpar um backlog de alertas do branch padrão por meio de pull requests. A extensão é para o desenvolvedor que quer entender e corrigir problemas em sua própria cópia de trabalho antes que algo saia de sua máquina.
O que GitHub não documentou ainda?
No momento da publicação desta nota, GitHub não havia publicado:
- Uma data de disponibilidade geral.
- Uma lista de linguagens ou tipos de alerta suportados além de “alertas de code scanning”.
- O custo em AI Credits por ação de Explain, Fix ou
/security-review.
A documentação também não detalha quais motivos de descarte estão disponíveis.
E você? Quando aparece uma alerta de code scanning no seu time, quem a corrige: quem escreveu a alteração ou quem cuida de segurança?
- Antes do PR, na minha cópia local
- No PR, com correções sugeridas
- Em um backlog separado, por prioridade
- Prefiro outra opção (conte para a gente qual)
Comente abaixo ou, se este artigo chegou até você por email, responda diretamente ao email: sua resposta é publicada aqui.
Relacionado: Como auditar a segurança do seu código com IA usando a habilidade que o Cloudflare liberou