GitHubin tietoturvakorjaus muistaa vanhat ratkaisut – tieto säilyy 28 päivää

GitHubin 25. syyskuuta 2026 julkaisema muutosilmoitus kertoo, että Agentic autofix käyttää nyt Copilot Memorya asiakkailla, jotka ovat ottaneet muistin käyttöön. Tietoturvahälytystä käsitellessään korjausagentti etsii aiemmista muistoista hyödyllistä taustaa ja tallentaa luomansa korjauksen mallin myöhempää käyttöä varten. Sekä Agentic autofix että Copilot Memory ovat julkisessa esikatselussa.

GitHubin Copilot Memory -ohjeen mukaan käyttämätön muisto poistuu automaattisesti 28 päivän kuluttua; onnistunut tarkistus ja käyttö voi aloittaa ajan uudelleen. Muistiin jäävä korjausmalli liittyy repositorioon, mutta Copilot tallentaa erikseen myös käyttäjän henkilökohtaisia mieltymyksiä. Ero ratkaisee, mikä tieto voi vaikuttaa seuraavaan korjaukseen ja kuka voi nähdä tai poistaa sen.

Hälytyksestä syntyy myöhemmin käytettävä korjausmalli

Uusi ketju alkaa aiemmasta muistista ja päättyy uuden korjausmallin tallentamiseen. Agentic autofix voi käyttää repositorion omia käytäntöjä taustana, kun se muodostaa ratkaisua tietoturvahälytykseen. Jos se luo korjauksen, mallista voi olla hyötyä saman repositorion myöhemmissä hälytyksissä. GitHub nimeää mahdollisiksi hyötyjiksi myös Copilot code review’n ja Copilot cloud agentin, joille repositorion turvalliset kehitystavat voivat välittyä muistin kautta.

Käytännössä muistettu malli voi auttaa agenttia tunnistamaan, miten projektissa on aiemmin ratkaistu samankaltainen ongelma. Se on jatkuvuutta korjausehdotuksen taustatiedoissa, ei lupaus siitä, että seuraava ehdotus olisi automaattisesti oikea. Uusi hälytys voi koskea eri koodipolkua, vaikka korjauksessa näkyisi tuttu ratkaisutapa.

Musthave.AI:n arvio nostaa esiin juuri tämän rajan: aiemmin käytetty malli ei yksin osoita uutta tietoturvakorjausta turvalliseksi. GitHubin muutosilmoitus ei myöskään anna mittaustulosta siitä, kuinka paljon muisti parantaa korjausten laatua tai nopeutta. Yksittäisen ehdotuksen merkitys riippuu edelleen hälytyksestä ja siitä koodista, jota ehdotus muuttaa.

Yhteinen repositoriomuisti eroaa henkilökohtaisista mieltymyksistä

Copilot Memory säilyttää repositoriota koskevia faktoja ja käyttäjäkohtaisia mieltymyksiä eri tarkoituksiin. Repositoriomuistiin voi tallentua esimerkiksi koodauskäytäntöjä, arkkitehtuuripäätöksiä, rakentamiskomentoja ja projektin omia sääntöjä. Tällainen merkintä syntyy vain toiminnasta, jonka on käynnistänyt muistin käyttöön ottanut käyttäjä, jolla on kirjoitusoikeus kyseiseen repositorioon.

Kun repositoriotieto on tallennettu, se on niiden käytettävissä, joilla on pääsy kyseisen repositorion Copilot Memoryyn. Sitä voidaan käyttää vain saman repositorion toimissa. Yhden projektin korjausmalli ei siis siirry automaattisesti organisaation muiden projektien yhteiseksi käytännöksi, vaikka saman projektin eri Copilot-toiminnot voivat hyödyntää sitä. Repositorion omistaja voi tarkastella tallennettuja faktoja ja poistaa niitä käsin.

Käyttäjäkohtainen muisti kuvaa sen sijaan henkilön tapaa työskennellä Copilotin kanssa. Mieltymykset voivat olla käytettävissä saman käyttäjän myöhemmissä vuorovaikutuksissa eri repositorioissa. Copilot code review käyttää vain repositoriotason faktoja, kun taas Copilot CLI voi käyttää niiden lisäksi toiminnon käynnistäneen käyttäjän mieltymyksiä. Siksi repositorion yhteinen korjaustapa ja henkilökohtainen työskentelytapa eivät tarkoita samaa tietoa.

Copilot Business- ja Copilot Enterprise -tilauksissa organisaation tai yrityksen ylläpitäjä voi viedä tai poistaa käyttäjäkohtaisia mieltymyksiä myös keskitetysti. Mieltymykset kuuluvat lisenssin myöntäneelle laskutustaholle: agentti-istuntoon haetaan vain käyttäjän kulloinkin aktiivisen laskutustahon omistamia merkintöjä. Jos käyttäjällä on lisenssejä eri tahoilta, hänen on valittava oletuslaskutustaho, jotta käyttäjäkohtaisia mieltymyksiä voi syntyä.

Nykyinen haara ratkaisee, kelpaako vanha tieto

Repositoriomuistissa oleva fakta ei siirry sellaisenaan uuteen korjaukseen. Sen mukana tallennetaan viittaukset tietoa tukevaan koodiin. Kun Copilot löytää tehtävään sopivan merkinnän, se tarkistaa viittaukset nykyistä haaraa vasten ja käyttää vain vahvistettuja faktoja. Tämä on olennainen vaihe silloin, kun koodi on muuttunut alkuperäisen havainnon jälkeen.

Muistiin voi päätyä faktoja myös pull requesteista, jotka on suljettu yhdistämättä muutoksia. Tällaisen merkinnän ei pitäisi vaikuttaa Copilotin toimintaan, ellei nykyinen koodikanta edelleen tue sen sisältöä. Tarkistus koskee muistissa olevan repositoriotiedon ajantasaisuutta; se ei yksin arvioi, korjaako agentin seuraavaksi ehdottama muutos tietoturvahälytyksen turvallisesti.

Käyttäjän mieltymyksiä Copilot arvioi eri tavalla. Niiden viittauksissa voi olla käyttäjän omia ilmauksia, ja Copilot arvioi tapauskohtaisesti, päteekö mieltymys edelleen. Henkilökohtaista työskentelytoivetta ei siksi voi rinnastaa repositorion koodiviitteisiin perustuvaan faktaan. Ylläpitäjälle ero on tärkeä, kun hän selvittää, millainen muistimerkintä on voinut ohjata korjausehdotusta.

Säilytysaika ja haarakohtainen tarkistus vastaavat eri kysymyksiin. Ensimmäinen rajaa käyttämättä jäävän merkinnän elinkaarta; jälkimmäinen ratkaisee, tukeeko nykyinen koodi repositoriosta tallennettua väitettä. Käytössä vahvistettu merkintä voi säilyä alkuperäistä määräaikaa pidempään. Omistajan tekemä poisto puolestaan katkaisee vanhentuneen repositoriotiedon käytön odottamatta automaattista poistumista.

Käyttöönotto ja poistovalta kuuluvat eri tahoille

Copilot Memory otetaan käyttöön käyttäjäkohtaisesti, minkä jälkeen se koskee käyttäjän Copilot-työtä niissä repositorioissa, joissa ominaisuus on käytettävissä. Henkilökohtaisissa maksullisissa tilauksissa muisti on oletusarvoisesti päällä. Organisaation tai yrityksen hallinnoimassa tilauksessa ylläpitäjän on ensin sallittava ominaisuus käytännöllä; käyttäjä voi sen jälkeen jättäytyä pois.

Ylläpitäjän on siksi erotettava ominaisuuden salliminen, muistojen näkyvyys ja tietojen poistaminen toisistaan. Käyttöä koskeva tarkistuslista seuraa suoraan näistä eri oikeuksista:

• Onko organisaation muistia koskeva käytäntö sallittu, ja ketkä käyttäjät ovat ottaneet ominaisuuden käyttöön?
• Ketkä pääsevät kyseisen repositorion muistiin, ja kuka voi tarkastella tai poistaa sen repositoriotiedot?
• Tarvitaanko käyttäjäkohtaisten mieltymysten vientiä tai poistoa organisaation hallinnassa?

Julkisessa esikatselussa ominaisuuden toiminta ja käytännöt voivat vielä muuttua. Nykyisessä mallissa seuraavan tietoturvahälytyksen taustalle voi kuitenkin tulla saman repositorion aiemmasta korjauksesta tallennettu malli, jos muisti on käytössä, merkintä on säilynyt ja sen koodiin perustuva tieto kelpaa nykyisessä haarassa.

Lue myös:

• GraphRAG vai vektori-RAG? Kysymyksen rakenne ratkaisee valinnan