O Autofix fornece recomendações específicas para ajudar você a corrigir alertas code scanning e evitar a introdução de novas vulnerabilidades de segurança. As correções potenciais são geradas automaticamente por LLMs (grandes modelos de linguagem) usando-se os dados da base de código, da pull request e da análise da code scanning.
Como funciona o autofixo
O Autofix traduz a descrição e a localização de um alerta code scanning em alterações no código que podem corrigi-lo. Ele interage com o modelo de linguagem amplo GPT-5.3-Codex da OpenAI, que possui capacidade de geração suficiente para produzir tanto correções sugeridas no código quanto texto explicativo para essas correções.
Há duas maneiras de se obter uma correção para um alerta: correção automática por meio de agentes e Autofixo do Copilot. Se o agente de nuvem Copilot estiver disponível em um repositório, atribuir um alerta usará a correção automática por meio de agentes em vez da Autofixo do Copilot.
Correção automática por meio de agentes
Observação
Esse recurso está atualmente em versão prévia pública e está sujeito a alterações.
Atribua um code scanning alerta a Copilot para que ele resolva o alerta para você. A atribuição de um alerta inicia uma sessão de agente: agente de nuvem Copilot chama ferramentas para explorar sua base de código além do arquivo afetado, gera uma correção, valida (por exemplo, executando CodeQLnovamente) e itera até abrir uma solicitação pull com as alterações. Consulte Resolver alertas de varredura de código.
Tenha o seguinte em mente:
- A correção automática por meio de agentes requer que o agente de nuvem Copilot e a Autofixo do Copilot estejam disponíveis no repositório. Se agente de nuvem Copilot não estiver disponível, a atribuição do alerta usará Autofixo do Copilot como alternativa.
- Cada sessão de correção automática por meio de agentes é cobrada como uma sessão do agente de nuvem Copilot e consome os AI credits. Consulte Sobre o agente de nuvem do GitHub Copilot.
- Copilot segue as instruções personalizadas configuradas para o repositório ou organização quando ele gera uma correção.
- A correção automática por meio de agentes funciona com base no melhor esforço. Copilot valida correções executando CodeQL novamente usando o conjunto de consultas de verificação de código, portanto, não é possível confirmar se uma correção resolve alertas gerados por consultas personalizadas ou pelo conjunto de consultas estendidas por segurança. Também não há garantia para a correção da qualidade dos alertas direto de ferramentas de terceiros.
Conseguir uma correção sugerida com Autofixo do Copilot
Autofixo do Copilot gera uma única correção sugerida para um alerta, que você revisa e aplica a si mesmo.
Você não precisa de uma assinatura de GitHub Copilot para usar Correção Automática do GitHub Copilot, e isso não consome AI credits. A Autofixo do Copilot está disponível para todos os repositórios públicos no GitHub.com, bem como nos repositórios internos ou privados pertencentes a organizações e empresas que têm uma licença do GitHub Code Security.
Autofixo do Copilot é permitido por padrão e habilitado para cada repositório que usa CodeQL, independentemente de usar a configuração padrão ou avançada para code scanning. Não há nenhuma etapa separada para habilitar Autofixo do Copilot: habilitar code scanning com CodeQL é suficiente. Consulte Como definir a configuração padrão da verificação de código.
Os administradores nos níveis corporativo, organizacional e repositório podem optar por desabilitar Autofixo do Copilot. Se Autofixo do Copilot tiver sido desabilitado em seu nível, você poderá habilitá-lo novamente seguindo as mesmas etapas usadas para desabilitá-lo e selecionando a opção para permitir Autofixo do Copilot. Para saber como gerenciar Autofixo do Copilot em cada nível, consulte Desabilitar a correção automática para alertas de segurança de verificação de código.