GitHub代码扫描开始识别AI应用风险：先检查提示注入、泄露与过度代理
公开预览会在拉取请求中扫描代理代码路径；需启用相关扫描并具备GitHub Advanced Security许可证
GitHub代码扫描公开预览新增AI应用和代理风险检测，覆盖间接提示注入、敏感信息泄露与过度代理，并在拉取请求创建时自动运行。它会标记不受信内容流向拥有工具或业务系统访问权的模型路径。本文提供启用条件、测试样例、告警复核、权限修正、回归验证和失败处理清单，并明确该功能需要GitHub Advanced Security且当前不支持GitHub Enterprise Server。
本文核心看点
作者与发布归属：恩禾ENHE AI · 2026-11-03 · AI辅助整理与人工校核
公开预览会在拉取请求中扫描代理代码路径；需启用相关扫描并具备GitHub Advanced Security许可证
GitHub代码扫描公开预览新增AI应用和代理风险检测，覆盖间接提示注入、敏感信息泄露与过度代理，并在拉取请求创建时自动运行。它会标记不受信内容流向拥有工具或业务系统访问权的模型路径。本文提供启用条件、测试样例、告警复核、权限修正、回归验证和失败处理清单，并明确该功能需要GitHub Advanced Security且当前不支持GitHub Enterprise Server。
直接答案：它扫描什么
GitHub说明代码扫描现在可检测AI应用和代理漏洞，包括间接提示注入、敏感信息泄露和过度代理。重点不是普通提示词措辞，而是不受信内容是否能影响拥有工具、数据或业务系统访问权的模型。
扫描会在拉取请求创建时自动运行，并与现有CodeQL分析并行。只有仓库已启用代码扫描和AI应用扫描时，这条检测链才会工作。
三个风险类别怎样区分
间接提示注入指恶意指令藏在文件、网页或Issue评论等不受信内容中，代理读取后可能被操纵。敏感信息泄露关注代理在授权不足时接触或暴露数据。过度代理关注能力、权限或自主程度超出任务所需。
同一代码路径可能同时包含多个风险，例如代理读取外部Issue后使用高权限令牌调用部署工具。分类有助于定位控制点，但不能替代对完整数据流和权限链的人工理解。
启用前先核对条件
该公开预览需要GitHub Advanced Security许可证，当前不支持GitHub Enterprise Server。组织还需要在使用代码扫描的仓库中启用AI应用扫描；没有这些条件时，不应声称仓库已受该检测器保护。
记录仓库范围、默认分支、启用时间、负责人和策略来源。先选包含明确代理入口和工具调用的样例仓库，避免一开始把所有仓库纳入后却无法解释告警。
怎样用无害样例验证
在测试分支加入不会执行真实动作的示例：外部文本流向模型、模型可调用模拟工具、权限范围故意大于任务需要。不要使用真实密钥、生产数据或会改变外部状态的工具。
提交拉取请求后记录是否出现告警、定位到哪条路径、给出的缓解建议和人工判断。若没有告警，先检查启用状态和受支持范围，不能用一次未命中证明代码安全。
修复、复扫与失败处理
优先在架构上断开危险路径：把外部内容标为数据而非指令、缩小工具白名单、使用短期低权限凭据、在高影响动作前要求人工批准，并限制模型能读取的敏感字段。
修复后重新扫描同一拉取请求并保留前后证据。若告警不消失或团队无法判断，应阻止合并并升级给安全负责人，而不是简单忽略或关闭规则。
常见问题
它能替代人工安全审查吗？
不能。它提供代码路径和缓解建议，最终仍要由人核对上下文、权限和修复。
为什么一次未告警不能证明安全？
检测范围、配置和规则都会影响结果，且公告明确覆盖会继续扩展。
GitHub Enterprise Server现在支持吗？
不支持。官方公告明确说当前不适用于GitHub Enterprise Server。
相关工具与延伸阅读
以下页面与本文任务、工作流或风险边界直接相关。
结论
AI应用代码扫描适合作为拉取请求中的补充安全门禁，但必须与最小权限、输入隔离、人工审查和重新扫描结合。先在样例仓库证明告警与修复闭环，再扩大范围。
来源链接
- GitHub official source (2026-10-28)
这对普通用户意味着什么？
在测试分支加入不会执行真实动作的示例：外部文本流向模型、模型可调用模拟工具、权限范围故意大于任务需要。不要使用真实密钥、生产数据或会改变外部状态的工具。
你可能会用到这些工具
相关教程
相关工具/教程
你可以从下面的 ENHE AI 栏目继续把资讯信号转成工具选择、账号服务判断或实操学习路径。
相关阅读
AI代理九阶段评估清单：从第一次提交到线上漂移监控
AWS于2026年10月16日公开基于Amazon Bedrock AgentCore的九阶段代理评估框架，覆盖质量定义、实验比较、合并检查、上线门禁、灰度观察、对抗测试、漂移监控、实时脉搏和反馈改进。本文把框架整理成耐久型选型清单，并补充工具、单代理和多代理三层证据，帮助普通团队识别“延迟正常但答案悄悄变差”的软失败。
AI代理何时可以自动行动：Scope、Know、Bound、Observe四步证据清单
AI代理能否少等人工批准，不应只看演示是否顺利。AWS提出Trust in Depth框架，用Scope、Know、Bound、Observe四个问题分别检查任务用途与禁区、授权身份、运行中限制和事后可追溯性。本文把这套思路整理成普通团队可执行的耐久清单，以“更新一个内部任务状态”为例，给出放行证据、停止条件和人工复核点；精确规则可自动验证，涉及语气、敏感情境或高影响决定时仍需人来判断。
AI代理运行时安全怎么验收：OpenShell四层证据清单
NVIDIA于2026年10月21日发布OpenShell Reference Architecture，用于在企业基础设施与边缘设备上构建、隔离、观察和约束AI代理。本文不是产品宣传，而是一份耐久型验收清单：围绕一个低风险代理任务，依次检查依赖来源、身份和工具边界、网络与文件隔离、行为日志、策略拒绝、人工批准和回滚。每层都要求保存证据与失败处理，帮助团队判断代理何时能自动执行、何时必须停在人工复核。
从聊天框到个人AI操作伴侣：AI助手正在进入桌面执行时代
AI 助手正在从“回答问题”走向“持续执行任务”。AI agent、MCP 工具生态、个人记忆和本地工作台，正在一起推动这场变化。对用户来说，真正重要的不是多一个聊天框，而是少一点重复解释，多一点把事情继续做下去的能力。
Meta向五所美国大学提供200万美元：医疗AI项目仍处研究阶段
Meta宣布与五所美国大学建立合作，并提供共计200万美元资助及最新模型支持，项目涉及婴儿气管移位检测、失智人群自然对话和HFpEF风险预测等。本文面向关注医疗AI的研究者与普通读者，区分研究目标、工程设计与临床证据，给出数据权限、终点定义、外部验证、人工监督和公开沟通清单，避免把合作或原型误写成可诊断、可治疗的医疗产品。
GitHub Copilot SDK将迁移为Microsoft Copilot SDK：现有项目现在要改什么
GitHub宣布将GitHub Copilot SDK逐步迁移为Microsoft Copilot SDK，共享微软与GitHub代理产品的基础能力，同时保留应用对提示词、工具和策略的控制。现有用户暂时无需立即操作。本文给出依赖盘点、认证与计费核对、名称变更监控、回归测试及失败回退清单，帮助已有项目在不抢跑的情况下准备迁移。