GitHub：在拉取请求中引入AI安全检测，并在Copilot应用中推出/security-review命令

什么是SAST，GitHub为何将AI整合到这一流程中？

静态应用安全测试（SAST）是一种在应用程序运行之前、代码合并之前，自动扫描源代码安全漏洞的方法。GitHub的Code Scanning已将CodeQL作为主要SAST工具，但CodeQL原生支持的编程语言数量有限。新引入的AI层填补了这一空白，为CodeQL此前不支持的语言提供安全分析。

在拉取请求中直接显示AI检测结果

GitHub Code Scanning现在在拉取请求界面中直接展示AI生成的安全检测结果。每条检测结果都清晰标注了 AI 标签，帮助开发者区分传统CodeQL发现与AI分析生成的结果。核心优势在于覆盖范围：AI检测结果涵盖CodeQL不原生支持的语言，从而将安全检查扩展至更广泛的代码库。开发者由此能在干预成本最低的时机——合并前而非部署后——获得安全警告。

Copilot应用中的新命令/security-review

与Code Scanning变更同步，GitHub在GitHub Copilot聊天界面中引入了**/security-review 命令**。用户可选中代码或整个文件，直接从聊天界面发起安全分析。系统识别四类漏洞：注入攻击（SQL注入、命令注入）、跨站脚本（XSS）、路径遍历和弱加密。与在CI/CD流水线中自动运行的Code Scanning不同，/security-review 是开发者按需调用的交互式工具——例如在审查他人代码或重构敏感模块时使用。

集成与市场背景

两项新功能同日发布，是GitHub在AI辅助安全领域的协同出击。相比之下，Snyk和Semgrep等竞争对手已较早提供基于静态分析的AI层，但直接集成于GitHub界面——无需额外工具或许可证——意味着安全分析将向所有GitHub Copilot用户开放，不受项目类型或编程语言限制。