GitHub Copilot Security Extension: Code-Scanning-Alerts in der IDE beheben
GitHub bringt die Security Extension für Copilot in die öffentliche Vorschau: Entwickler beheben Code-Scanning-Alerts direkt in der IDE, ohne zwischen github.com und Editor zu wechseln.
Was ist neu
GitHub stellt die Security Extension für die GitHub Copilot App in die öffentliche Vorschau. Die Erweiterung ermöglicht es Entwicklern, Code-Scanning-Alerts direkt in der integrierten Entwicklungsumgebung zu verwalten und zu beheben, ohne zwischen github.com und dem Editor zu navigieren.
Die Security Extension zeigt alle offenen Code-Scanning-Alerts eines Repositories übersichtlich an, sortiert nach Schweregrad. Entwickler können die Liste durch Such- und Filterfunktionen eingrenzen und einzelne Alerts auswählen. Für jedes Alert können sie Copilot auffordern, die Sicherheitsproblematik zu erklären oder einen Fix vorzuschlagen. Wichtig: Copilot macht Änderungen ausschließlich in der lokalen Arbeitskopie und committed oder pushed nicht automatisch — Entwickler können die vorgeschlagenen Änderungen erst überprüfen und iterieren, bevor sie sie in das Repository übernehmen.
Weitere Funktionen der Extension sind das Anzeigen von verknüpften Pull Requests zu einem Alert (um zu sehen, ob jemand bereits an einer Lösung arbeitet) und das Verwerfen von Alerts, die nicht behoben werden sollen. Organisationen, die delegierte Alert-Verwerfung nutzen, können Verwerfungen zur Genehmigung einreichen.
Über den Befehl /security-review können Entwickler die Security Extension auf ihre aktuellen Code-Änderungen anwenden und sehen die Erkenntnisse neben bestehenden Alerts. Die Extension informiert, wenn sich der Code seit der letzten Überprüfung geändert hat, damit Entwickler wissen, wann sie /security-review erneut ausführen sollten.
Copilot kann auch im Chat-Interface über Alerts befragt werden. Dabei nutzt Copilot die Tools der Security Extension wie jedes andere Tool und hält sich an die Berechtigungseinstellungen des Nutzers. Die Aktionen Explain, Fix und /security-review verbrauchen AI Credits wie jede andere Anfrage. Das Durchsuchen und Verwerfen von Alerts verbraucht keine Credits.
Für wen, ab wann, zu welchen Bedingungen
Die Security Extension befindet sich ab sofort in öffentlicher Vorschau auf github.com und GitHub Enterprise Cloud mit Datenspeicherung. GitHub Enterprise Server wird nicht unterstützt. GitHub nennt keinen Termin für die allgemeine Verfügbarkeit.
Installation erfolgt entweder über das Terminal mit copilot plugin install github-security@awesome-copilot oder über die Benutzeroberfläche der GitHub Copilot App (Customize → Suche nach github-security → + Install). Die Extension ist nach Installation automatisch aktiviert.
Mit jedem Copilot-Plan können Entwickler die Extension installieren und /security-review auf lokale Änderungen anwenden. Für Copilot Business und Copilot Enterprise muss ein Administrator die GitHub Copilot App Policy aktivieren und kann dann über Enterprise-Einstellungen steuern, welche Plugins Entwickler installieren dürfen.
Um bestehende Alerts zu sehen, zu beheben und zu verwerfen, muss Code Scanning auf dem Repository aktiviert sein und der Nutzer muss Berechtigung zum Anzeigen der Alerts haben. In privaten Repositories ist zusätzlich GitHub Code Security erforderlich. GitHub nennt keine zusätzlichen Lizenz- oder Kostenangaben für die Security Extension.
Praktische Bedeutung
Die Security Extension ermöglicht es Entwicklern, Code-Scanning-Alerts in einer zentralen Oberfläche zu verwalten, statt zwischen GitHub Web-Interface und lokalem Editor zu wechseln. Teams können Code-Scanning-Alerts und deren Lösungsvorschläge dort bearbeiten, wo sie den Code ändern — eine potenzielle Produktivitätssteigerung, besonders bei vielen Sicherheitswarnungen.
Die Extension ist auf github.com und GitHub Enterprise Cloud mit Datenspeicherung verfügbar. GitHub nennt nicht, wo diese Daten verarbeitet werden, aber für Organisationen mit erhöhten Datenschutzanforderungen steht die Datenspeicherungsoption zur Verfügung. Die Verarbeitung von Code durch Copilot unterliegt den Copilot Privacy Commitments, die GitHub veröffentlicht hat.
Die notwendige Lizenz (Code Scanning und Code Security für private Repositories) ist an bestehende GitHub-Verträge gekoppelt — GitHub nennt keine separaten Kosten. Organisationen müssen prüfen, ob ihre Lizenzierungsmodelle (Enterprise, Business oder Free mit Code Scanning) die Security Extension abdecken.
Mehr zum Thema im Ressort Kategorie Coding mit KI.
Quellen
Häufige Fragen
Kann Copilot automatisch Code-Scanning-Alerts beheben und pushen?
Nein, Copilot erstellt Fixes ausschließlich in der lokalen Arbeitskopie. Der Entwickler muss die Änderungen selbst überprüfen und entscheiden, wann sie committed und gepusht werden sollen.
Was ist der Unterschied zwischen Explain und Fix in der Security Extension?
Mit Explain kann der Nutzer Copilot auffordern, das Sicherheitsproblem zu erklären. Mit Fix erstellt Copilot einen Lösungsvorschlag, den der Entwickler lokal testen und anpassen kann, bevor er ihn übernimmt.
Welche Lizenzen benötigt man, um die Security Extension zu nutzen?
Jeder Copilot-Plan erlaubt die Installation und Nutzung für lokale Changes. Um bestehende Code-Scanning-Alerts zu sehen und zu beheben, muss Code Scanning auf dem Repository aktiv sein. In privaten Repositories ist zusätzlich GitHub Code Security erforderlich.