GitHub ermöglicht seit dem 13. November 2026, den KI-gestützten Sicherheitsscan ganzer Repositories über seine REST-API ein- und auszuschalten. Organisationsverantwortliche können die Funktion damit erstmals auch per Skript und Infrastructure-as-Code konfigurieren, statt die Einstellungen für jedes Repository einzeln in der Weboberfläche vorzunehmen. Die Erweiterung befindet sich in einer öffentlichen Vorschau; die Aktivierung löst noch keinen Scan aus.
Die Neuerung betrifft AI Scan für Repositories innerhalb von GitHub Code Scanning. Sie ist nicht mit dem bereits angebotenen AI Scan für Pull Requests und auch nicht mit CodeQL gleichzusetzen: Der Repository-Scan untersucht bei manueller Ausführung den Standardbranch einer Codebasis und ergänzt die bestehende Sicherheitsanalyse.
Neue REST-API-Steuerung für Organisationen und Repositories
GitHub hat die bestehenden AI-Scan-Endpunkte um das Feld repository_scan erweitert. Mit den Werten enabled und disabled kann der Betriebszustand ausgelesen beziehungsweise geändert werden. Für Organisationen stehen GET und PATCH /orgs/{org}/code-scanning/ai-scan bereit; auf Repositoryebene sind es GET und PATCH /repos/{owner}/{repo}/code-scanning/ai-scan.
Das neue Feld lässt sich gemeinsam mit dem bereits vorhandenen pr_scan für Pull-Request-Scans in einem einzigen Änderungsaufruf übertragen. GitHub behandelt die Kombination als Einheit: Ist eine der Änderungen unzulässig, antwortet die API mit HTTP 422 und nimmt keine der beiden Einstellungen vor. Für Konfigurationsautomatisierung ist diese Eigenschaft wichtig, weil sich bei einem abgewiesenen Aufruf kein teilweise geänderter Scanmodus ergibt.
Der API-Zugriff ist an passende Berechtigungen gebunden. Organisationseinstellungen können Organisationsinhaber und Sicherheitsverantwortliche verwalten; für Änderungen an einzelnen Repositories benötigen die dafür zuständigen Konten entsprechende Administrationsrechte.
Organisationsvorgaben gelten auch für einzelne Repositories
Die Organisationskonfiguration bildet die Obergrenze: Ist AI Scan für Repositories dort deaktiviert, lässt sich der Dienst nicht separat für ein untergeordnetes Repository einschalten. Bei einer organisationsweiten Aktivierung übernehmen berechtigte Repositories die Einstellung, können aber einzeln ausgeschlossen werden. Untersagt die übergeordnete Enterprise-Richtlinie AI Scan, weist GitHub Aktivierungsversuche ebenfalls mit HTTP 422 zurück.
Damit lassen sich Einführung und Ausnahmen zentral steuern. Bei größeren Entwicklungsorganisationen können die Einstellungen beispielsweise über bestehende Konfigurationsskripte ausgerollt und regelmäßig abgeglichen werden. Die neue API ersetzt jedoch weder die übergeordnete Unternehmensrichtlinie noch Berechtigungsprüfungen.
Freischalten bedeutet nicht automatisch scannen
Ein wichtiger Unterschied bleibt bestehen: Das Setzen von repository_scan=enabled startet keine Sicherheitsanalyse. GitHub führt vollständige Repository-Scans derzeit nur auf ausdrücklichen Aufruf durch. Dafür ist Schreibzugriff auf das betreffende Repository erforderlich. Eine automatische Ausführung bei jedem Push oder nach Zeitplan wird in der aktuellen öffentlichen Vorschau nicht unterstützt.
Die Analyse berücksichtigt den Standardbranch und kann Sprachen einschließen, die CodeQL nicht unterstützt. Ihre Ergebnisse erscheinen anschließend in der vorhandenen Liste der Code-Scanning-Warnungen; vorhandene CodeQL-Befunde werden soweit möglich zur Vermeidung identischer Warnungen berücksichtigt. Ein solcher Scan ersetzt keine vollständige manuelle Sicherheitsprüfung: Die KI untersucht ausgewählte Codebereiche unter einem Zeitbudget, und Hinweise können unzutreffend oder unvollständig sein.
Auch nach einem Codefix wird während der Vorschau nicht automatisch ein neuer AI Scan gestartet. Entwickler müssen die Prüfung selbst erneut ausführen; eine Warnung kann andernfalls trotz behobenem Problem bestehen bleiben.
Verfügbarkeit, Abrechnung und Grenzen
Für öffentliche Repositories einer GitHub-Organisation ist AI Scan für Repositories ohne zusätzliche Active-Committer-Lizenz verfügbar. Bei privaten oder internen Repositories setzt die Funktion GitHub Code Security oder GitHub Advanced Security voraus. Eine separate GitHub-Copilot-Lizenz ist nicht zwingend erforderlich. GitHub Enterprise Server wird durch diese neue Verwaltungsmöglichkeit nicht unterstützt.
Jeder tatsächlich ausgeführte Repository-Scan verbraucht GitHub Code Security AI Credits. Die Abrechnung und gegebenenfalls vorhandene Budgets sind daher vor einem breiteren Rollout zu prüfen. Das bloße Einschalten per API ist von einem kostenpflichtigen Scanlauf zu unterscheiden. Die Dokumentation nennt außerdem technische Grenzen für Analysen und betont, dass die öffentliche Vorschau noch Änderungen unterliegen kann.
Weitere Informationen
GitHub erläutert die neue API-Steuerung in der Ankündigung vom 13. November 2026. Die deutsche REST-API-Dokumentation für Code Scanning beschreibt die verfügbaren Endpunkte und Berechtigungen.
Eine Übersicht der Scanverfahren, Nutzungsvoraussetzungen und Abrechnung bietet die GitHub-Dokumentation zu AI Scan für Repositories.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten