概要
GitHubは、開発支援AIの「GitHub Copilot」を発表しました。そのアプリ内で、プログラムのセキュリティ脆弱性を確認・修正できる機能が追加されます。
これが「Security extension（セキュリティ拡張）」のパブリックプレビュー版です。これまでブラウザとエディタを行き来していました。今後は1つのアプリ内で作業が完結するようになります。
何が発表された？
GitHubの公式発表によると、新機能はGitHub Copilotアプリの中に組み込まれます。これは新しい拡張機能です。
リポジトリに潜むセキュリティ上の弱点をCopilotのチャットや専用画面から直接扱えます。弱点への説明を求めたり修正を依頼したりすることが可能です。
本機能は現在、パブリックプレビューとして提供が始まっています。利用にはGitHub.comおよびデータレジデンス対応のGitHub Enterprise Cloudが必要です。GitHub Enterprise Serverはサポート対象外となっています。
今回の拡張機能の主な導入効果として、以下の点が挙げられる。
- ブラウザとエディタを切り替えることなく、同じ画面上でアラートの確認から修正まで進められる
- ローカル環境（手元のパソコン）でのみ変更が行われ、勝手にコミットやプッシュをされないため安全にレビューできる
- プルリクエストを作成する前に、現在の変更点に対するセキュリティレビューをコマンドで実行できる
あわせて読みたいCopilot Codeとは？使い方と日本での提供状況｜マイクロソフトの新機能→前と何が違う？
ブラウザを行き来せず1画面で完結
これまではコードスキャンアラートを確認するためにウェブブラウザを開いていました。対象のコードを探してエディタに戻るという手間がありました。セキュリティ拡張の導入により、状況が変わります。Copilotアプリの画面を離れずにアラートの検索や詳細確認を行えるようになりました。
ローカル環境での安全な修正提案
Copilotにアラートの修正を依頼したとします。このとき変更はローカルの作業用コピーに対してのみ行われます。勝手にリポジトリへコミットやプッシュが実行されません。開発者が内容を十分にレビューして手元で試行錯誤を重ねたうえで反映させることができます。
プルリクエスト前の事前チェック
チャット上でコマンドを実行できます。「/security-review」というコマンドです。これを使うと現在の変更点に対するセキュリティ上の問題点をその場で確認できます。コードが前回レビュー時から変更されたかどうかも判定されます。そのため再チェックのタイミングを逃しません。
チーム内の対応状況の可視化
アラートに紐づく既存のプルリクエストを表示できます。他のメンバーがすでに修正作業を進めているかどうかを把握できるため便利です。また、対応不要なアラートの除外もアプリ内から行えます。
数字で見るとどう変わった？
今回の公式発表において具体的な数値データは示されていません。処理速度のベンチマークや従来との作業時間比較などは発表されていません。そのため実際の操作感や効率化の度合いについては個別の開発環境やリポジトリの規模に依存する形となります。
ライバルと比べてどう？
（編集部注：AI開発アシスタントにおけるセキュリティ機能の統合について、OpenAIやAnthropicなどの他社製AIツールでも独自のエディタ拡張やコード解析機能が提供されているが、GitHubが自社プラットフォームのコードスキャン機能と直接連携する拡張機能を出した点は、GitHubエコシステムを利用する開発者にとって強力な利便性を持つ）
料金は？
セキュリティ拡張機能自体の利用に追加料金はかかりません。任意のCopilotプランで利用できます。対象にはCopilot BusinessやCopilot Enterpriseなどが含まれます。
ただしAIクレジットが消費される場合があります。Explain、Fix、および「/security-review」のアクション実行時です。アプリ内で選択しているモデルを使用し、通常のプロンプトと同様に消費されます。なお、アラートの閲覧や除外操作についてはAIクレジットは消費されません。
日本で使える？
日本のユーザーでも今日から試すことができます。条件はGitHub.comやGitHub Enterprise Cloudを利用していることです。
利用を始めるための具体的な手順は以下の通り。
- ターミナルで「copilot plugin install github-security@awesome-copilot」を実行する
- または、GitHub Copilotアプリで「Customize」をクリックし、「github-security」を検索して「+ Install」を選択する
- インストール後は自動で有効化され、リポジトリのセッションからセキュリティキャンバスを開くことができる
注意点もあります。プライベートリポジトリでコードスキャンを利用するには「GitHub Code Security」が必要となります。
また別の条件もあります。Copilot BusinessおよびCopilot Enterpriseを利用している場合です。管理者がGitHub Copilotアプリのポリシーを有効にし、開発者がインストールできるプラグインを管理設定で許可している必要があります。
自分にはどう関係する？
エンジニアなら
コードの脆弱性修正のために画面を何枚も切り替える必要がなくなります。セキュリティ修正に費やす細かな手戻りの時間を減らせるため、開発に集中できるようになります。
企画・マーケティングなら
直接的なコードの修正作業は行わないものの、チームの基盤が整います。開発チームがより安全で品質の高いプロダクトを素早くリリースできるようになります。そのため機能公開のスピードや安全性の向上が期待できます。
経営者・管理者なら
開発現場におけるセキュリティチェックの抜け漏れを防げます。同時に組織全体のポリシーに沿ったプラグイン管理や安全なコード管理を統制しやすくなります。
まとめ
GitHub Copilotのセキュリティ拡張は実用的なアップデートです。日常的なコーディングと脆弱性修正をシームレスにつなぎます。まずは手元の環境でプラグインのインストールを試行してみましょう。日々のコードスキャン対応に組み込んでみるとよさそうです。
