Agentic autofix di GitHub: Copilot corregge gli alert di code scanning

GitHub ha reso disponibile in modo generale l'agentic autofix per gli alert di code scanning il 15 ottobre 2026. L'agentic autofix è la funzione che affida a Copilot la correzione di un alert: l'agente esplora il repository, scrive il fix, rilancia CodeQL per verificare che l'alert sia chiuso e apre una pull request in bozza. Interessa chi ha un arretrato di alert di sicurezza e nessuno con il tempo di chiuderli, ma richiede una licenza e un budget che molti team non hanno ancora attivato.

Cosa fa l'agentic autofix e cosa cambia rispetto al fix di prima

Il changelog di GitHub descrive il flusso così: Copilot esplora i file rilevanti, genera una correzione, la valida rilanciando CodeQL e, se serve, itera prima di aprire la pull request. La pull request spiega il fix, perché chiude l'alert e quali verifiche sono state fatte. Si possono chiedere modifiche commentando la pull request o dalla scheda Agents del repository.

La differenza sta nell'ampiezza. Il vecchio pulsante Generate Fix produceva un suggerimento su un punto del codice, che applicavi tu. Con l'agentic autofix l'agente lavora su tutto il repository e controlla il proprio risultato con lo stesso strumento che ha generato l'alert. Quando la funzione è attiva, secondo il changelog, il pulsante Generate Fix gratuito viene sostituito da Assign to Copilot.

Come si abilita e chi può usarlo

La funzione è disponibile per i clienti GitHub Code Security e GitHub Advanced Security su GitHub Enterprise Cloud, compresa la versione con residenza dei dati. L'attivazione ha tre passaggi, secondo il changelog:

1. un amministratore dell'enterprise attiva la policy Agentic autofix nelle policy di Advanced Security;
2. un amministratore dell'organizzazione o del repository la accende nelle impostazioni di Code Security;
3. si definisce un metodo di fatturazione Copilot.

La documentazione sull'autofix per il code scanning precisa che non serve una licenza Copilot per usare l'agentic autofix, e che la funzione non è disponibile per i repository di Enterprise Managed Users. Le due fonti non coincidono del tutto sulla parte Copilot: il changelog chiede un metodo di fatturazione, la documentazione esclude la licenza. Prima di attivarla in azienda conviene chiedere conferma all'amministratore di billing.

Quanto costa e quali sono i limiti

L'agentic autofix non ha un prezzo fisso pubblicato. Il changelog dice che consuma crediti AI dal budget di Code Security e minuti di GitHub Actions, e che l'uso compare nella sezione AI usage della fatturazione enterprise sotto il prodotto Advanced Security. Si possono impostare budget per singola voce. Il post non riporta tariffe per credito: finché non le vedi in fattura, il costo di una campagna di fix non si può stimare.

I limiti dichiarati sono tre. Funziona solo sugli alert del branch predefinito: quelli rilevati soltanto in una pull request o in un altro branch non si possono assegnare. Si assegnano al massimo 25 alert per volta, che finiscono in una sola pull request. E il lavoro è a massimo impegno: la documentazione scrive che l'agente non può confermare i fix per gli alert nati da query CodeQL personalizzate. Il post non elenca i linguaggi supportati.

Come si usa, da interfaccia e da API

Dall'interfaccia, si apre un alert sul branch predefinito e si preme Assign to Copilot. Per un lotto, si selezionano fino a 25 alert nell'elenco degli alert di sicurezza o in una security campaign.

Da script, si usa l'API REST Update a Code Scanning Alert, impostando assignees a ["copilot-swe-agent[bot]"]. È utile per assegnare in automatico gli alert di una certa gravità, ma ogni assegnazione consuma crediti: un ciclo che assegna tutto senza un filtro e un budget impostato è il modo più rapido di scoprire la tariffa.

Come si collega ad AI Scan, uscito lo stesso giorno

Lo stesso 15 ottobre GitHub ha pubblicato anche la disponibilità generale di AI Scan per le pull request. AI Scan è una funzione di code scanning che cerca vulnerabilità nelle modifiche di una pull request e completa CodeQL su linguaggi e framework che CodeQL non copre, tra cui PHP, Shell/Bash, Terraform (HCL), Dockerfile, JSP per Java e Blazor per C#. I suoi risultati sono consultivi: non fanno fallire il controllo e non possono bloccare un merge tramite i ruleset. Anche AI Scan consuma crediti AI di Code Security, ma non richiede una licenza Copilot. Sono due strumenti diversi: AI Scan trova, l'agentic autofix corregge gli alert che CodeQL ha già aperto.

Cosa cambia per chi rivede il codice

Il fix arriva come pull request in bozza e questo è il punto che conta. Un agente che rilancia CodeQL dimostra che l'alert sparisce, non che la correzione sia giusta per il tuo sistema: un controllo può essere superato togliendo la funzione che lo faceva scattare. La verifica resta alla persona, e il metodo è quello di controllare il codice scritto dall'AI e di capire cosa trovano gli agenti in una revisione e cosa resta alla persona.

Il test sensato, prima di estenderlo, è assegnare cinque alert vecchi e già capiti, rivedere le cinque pull request e confrontare il tempo speso e i crediti consumati con quello che costerebbe correggerli a mano. Per capire dove si colloca Copilot nell'offerta di un'azienda, il quadro di partenza è Copilot aziendale: cos'è. Per la stessa famiglia di novità, c'è anche l'orchestratore descritto in HydraFusion di GitHub Copilot.