GitHub Agentic Autofix genel kullanımda: CodeQL sınırı

GitHub, 15 Ekim 2026 tarihli duyurusunda kod tarama uyarıları için Agentic Autofix’i genel kullanıma açtığını bildirdi. Uyarı Copilot’a atandığında ajan ilgili kodu inceliyor, düzeltme öneriyor, CodeQL’yi yeniden çalıştırıyor ve insan incelemesi için taslak çekme isteği açıyor. CodeQL kontrolü hedef uyarının yeniden üretilip üretilmediğini gösteriyor; uygulamanın beklenen davranışını tek başına sınamıyor.

Duyurudaki kurumsal kapsam, GitHub Enterprise Cloud üzerinde GitHub Code Security veya GitHub Advanced Security kullanan müşterileri içeriyor; veri yerleşimi seçeneği bulunan Enterprise Cloud da buna dahil. Genel kullanıma geçiş, güvenlik bulgusundan incelenebilir kod değişikliğine uzanan hazırlık işini ajana devrediyor. Çekme isteğinin birleştirilmesi ise ekip incelemesine bağlı kalıyor.

Uyarı taslak çekme isteğine nasıl dönüşüyor?

GitHub kod tarama uyarısının Copilot’a atanmasının ardından taslak çekme isteğine dönüşmesi

Akış, deponun varsayılan dalındaki bir kod tarama uyarısının Copilot’a atanmasıyla başlıyor. Ajan uyarının gösterdiği satırın ötesine geçip ilgili dosyaları araştırıyor ve kod değişikliği hazırlıyor. Sonra CodeQL’yi yeniden çalıştırarak hedef bulgunun kapanıp kapanmadığına bakıyor; gerekirse önerisini değiştirip doğrulamayı tekrarlıyor. Böylece inceleyene yalnızca tek satırlık bir öneri değil, kod tabanı bağlamında hazırlanmış bir değişiklik ulaşıyor.

Sonuç taslak çekme isteği olarak açılıyor. Açıklamasında düzeltmenin özeti, uyarıyı neden kapatması gerektiği ve Copilot’ın uyguladığı doğrulama adımları yer alıyor. İnceleyen kişi kod farkını bu gerekçeyle birlikte görebiliyor. İlk taslaktan sonra çekme isteğine yorum yazarak veya deponun Agents sekmesindeki oturumu kullanarak Copilot’tan ek değişiklik istenebiliyor.

Tek bir uyarı kendi sayfasından atanabiliyor. Güvenlik uyarıları listesinden ya da bir güvenlik kampanyasından toplu seçim yapıldığında en fazla 25 uyarı aynı çekme isteğinde ele alınabiliyor. REST API üzerinden atama da mümkün; bu yolda uyarının assignees alanına copilot-swe-agent[bot] değeri veriliyor. Yalnızca çekme isteklerinde veya varsayılan dal dışındaki dallarda görülen uyarılar bu akışa atanamıyor.

Özellik etkinleştirildiğinde tekil uyarıdaki ücretsiz Generate Fix seçeneğinin yerini Assign to Copilot alıyor. Ayrım yalnızca düğmenin adında değil: önceki Copilot Autofix, desteklenen tek bir uyarı için kullanıcının uygulayacağı kod önerisi üretirken Agentic Autofix dosyaları araştırıp doğrulama çalıştırıyor ve taslak çekme isteğini kendisi hazırlıyor. Toplu seçim de ayrı ayrı önerileri tek ekranda göstermek yerine aynı değişiklikte ele alma olanağı sağlıyor; seçilen bütün uyarıların kapanması garanti edilmiyor.

Erişim koşulları ve faturalandırma

Kurumsal depolarda erişim yönetim ayarlarına bağlı. Enterprise yöneticisi Advanced Security politikası üzerinden özelliğe izin veriyor; ardından kuruluş yöneticisi uygun depolar için Agentic Autofix’i açabiliyor. Kuruluş ayarı uygun depolarda varsayılan olarak geçerli olsa da depo yöneticisi kendi deposunu kapsam dışına çıkarabiliyor. Üst düzey politikanın izin vermesi, özelliği tek başına etkinleştirmiyor.

GitHub’ın autofix belgelerine göre uygun bir kişisel hesaba ait herkese açık depoda yönetici özelliği doğrudan açabiliyor ve kullanıcı için ayrı bir Copilot lisansı gerekmiyor. Enterprise Managed Users tarafından sahip olunan kullanıcı depoları kapsam dışında. Özellik açık bir depoda uyarıyı Copilot’a atayacak kişinin yazma yetkisi bulunması gerekiyor. Kurumsal erişim için ayrıca tanımlı bir Copilot faturalandırma yöntemi isteniyor.

Her ajan oturumu Code Security bütçesinden AI Credits ile GitHub Actions dakikaları tüketiyor. Kurumsal faturada kredi kullanımı AI usage bölümünde Advanced Security ürünü altında gösteriliyor; Code Security AI Credits için ürün düzeyinde bütçe kurulabiliyor. Dolayısıyla lisans ve erişim koşullarını karşılamak, ajan oturumunun kullanım maliyetini ortadan kaldırmıyor. Eski Copilot Autofix’in tekil kod önerileri AI Credits tüketmezken Agentic Autofix’in araştırma ve doğrulama oturumu tüketiyor.

CodeQL doğrulaması neyi gösteriyor?

CodeQL’nin hedef uyarıyı doğrulaması ile kod değişikliğinin ayrıca incelenmesi arasındaki sınır

Yeniden çalıştırılan CodeQL, hedef uyarının kullandığı analiz kapsamında hâlâ oluşup oluşmadığına ilişkin somut bir sonuç veriyor. CodeBridge’in teknik değerlendirmesi, gerçek bir tarama sonucuyla ajanın düzeltmeyi başarılı saymasını birbirinden ayırıyor. Uyarının kapanması yararlı bir güvenlik sinyali; değişen kodun bütün girişlerde doğru çalıştığını veya aynı kusurun başka bir yoldan ortaya çıkamayacağını kanıtlamıyor.

Otomatik kapanış doğrulaması, CodeQL’nin standart kod tarama sorgu kümesiyle en iyi çaba esasına göre yapılıyor. Özel CodeQL sorguları, security-extended sorgu kümesi veya üçüncü taraf tarayıcılar tarafından üretilen uyarılarda ajan aynı doğrulamayı sağlayamayabiliyor. Bu tür bir uyarının Copilot’a atanabilmesiyle düzeltmenin standart CodeQL taraması tarafından doğrulanabilmesi ayrı koşullar. Doğrulama yapılamadığında çekme isteğindeki açıklama, inceleyenin görebileceği bu belirsizliği taşımalı.

Statik analiz ile uygulama testi farklı soruları yanıtlıyor. CodeQL belirli sorguların aradığı kod örüntülerini yeniden denetliyor; testler ise değişiklikten sonra uygulamanın beklenen işlevleri sürdürüp sürdürmediğini sınayabiliyor. Bir düzeltme uyarıyı kapatırken geçerli bir işlemin davranışını değiştirebilir. Bu yüzden kapanan bulgu, test sonucunun veya kod farkına yönelik incelemenin yerine geçmiyor.

İnsan incelemesi neden sürüyor?

Agentic Autofix kodu doğrudan birleştirmiyor; incelemeye açık bir taslak çekme isteği teslim ediyor. İnceleyen kişinin önünde birbirinden ayrı kanıtlar bulunuyor: değişikliğin kendisi, uyarıyı kapatma gerekçesi ve otomatik doğrulamanın sonucu. Kod farkının sorunu doğru mekanizmayla giderip gidermediği ve başka davranışları etkileyip etkilemediği bu aşamada değerlendiriliyor. Ajanın aynı oturumda birden fazla uyarıyı ele alması, bu değerlendirmeyi her bulgu için gereksiz kılmıyor.

Uygulama testleri işlevsel davranışa, CodeQL yeniden taraması hedef güvenlik bulgusuna, insan incelemesi de düzeltmenin kod tabanına uygunluğuna bakıyor. Genel kullanıma açılan akışın ekipler açısından somut sonucu, uyarıyı araştırma ve ilk çekme isteğini hazırlama yükünün azalabilmesi. Birleştirme kararı ise özellikle otomatik doğrulama kapsamı dışında kalan bulgularda, bu ayrı kontrollerin birlikte değerlendirilmesine dayanıyor.

Ayrıca okuyun: