GitHub leva métricas do AI Scan ao security overview: veja quanto das descobertas da IA vira correção

Fala aí, beleza? Desde 13/10/2026 o GitHub mostra no security overview quanto das descobertas do AI Scan em pull requests vira correção de verdade 🙂

O anúncio saiu no GitHub Changelog e é voltado pra administradores de organizações e enterprises

Antes dava pra saber onde o AI Scan estava ligado

Agora dá pra ver se ele está servindo pra alguma coisa, e isso muda bastante a conversa, né?

Tudo isso em public preview, então ainda pode mudar até a versão final…

Quais métricas do AI Scan aparecem no security overview

As métricas do AI Scan que o GitHub liberou são estas:

• Descobertas geradas: quantos achados o AI Scan produziu
• Descobertas resolvidas: quantos desses achados foram corrigidos
• Taxa de remediação: a proporção do que foi resolvido
• Repositórios com descobertas: quais repos geraram achados
• Tendências: como os números se comportam no período de relatório selecionado
• Uso do autofix: com que frequência os desenvolvedores aplicaram as sugestões de autofix

O GitHub não detalha no anúncio a fórmula exata da taxa de remediação

Então nada de inventar conta aqui, beleza? O que vale é o que aparece no seu painel

‘CodeQL pull requests’ agora se chama ‘Code scanning on pull requests’

Formação Recomendada

Formação Claude Code

Domine Claude Code do absoluto zero até o avançado

• 120 aulas
• 4 projetos
• 9h 45min

Conhecer formação

Se você procurou a página antiga e não achou, calma, ela não sumiu haha

A página ‘CodeQL pull requests’ foi renomeada pra ‘Code scanning on pull requests’ e ganhou duas abas separadas: CodeQL e AI Scan

As métricas que já existiam na página antiga foram pra aba CodeQL, então quem acompanhava esses números continua tendo tudo lá

Já a aba AI Scan é a novidade: ela mostra o total de descobertas e quantas incluem ou não incluem sugestão de autofix

Se liga que isso é diferente do uso do autofix que apareceu lá na lista de métricas

Aqui o número diz se a sugestão de correção EXISTE pra aquela descoberta, enquanto o uso do autofix diz se o dev de fato aplicou a sugestão

Essa separação é útil porque deixa claro o que a IA entregou já com proposta de correção e o que sobrou pro dev resolver na mão

Quem tem acesso às métricas do AI Scan e o que fica de fora

O recurso está em public preview no github.com, incluindo o GitHub Enterprise Cloud

O anúncio confirma que essa preview é voltada a clientes com GitHub Code Security ou GitHub Advanced Security. O que o GitHub não detalha é como a interface se comporta pra quem não tem nenhuma dessas licenças, então não dá pra garantir se a aba simplesmente não aparece ou fica indisponível de outra forma

E se liga nisso: o GitHub Enterprise Server não é suportado nesta versão

Quem roda GitHub on premise fica de fora por enquanto, e o anúncio não traz previsão de quando isso muda

Como é preview, nome de página, métrica e comportamento podem mudar até a disponibilidade geral

O que é o AI Scan for pull requests

Pra quem chegou agora: o AI Scan for pull requests são detecções de segurança feitas com IA que aparecem direto nos PRs

E por que isso existe se já tem o CodeQL?

Porque ele amplia a cobertura pra linguagens e frameworks que o CodeQL ainda não suporta, usando o motor de detecção por IA do próprio GitHub

Roda automaticamente quando um PR é aberto ou atualizado, sem você precisar chamar nada

Outro ponto massa: desde 16/09/2026 ele funciona mesmo quando o CodeQL default setup não está habilitado no repositório, embora code scanning e AI Scan ainda precisem estar habilitados no nível de repositório, organização ou enterprise

A habilitação também pode ser gerenciada por endpoints da REST API nos níveis de organização e repositório, recurso que também está em public preview

Da cobertura ao impacto:

Esse anúncio é a continuação de outro, de 06/10/2026

Naquela data a coverage view do security overview passou a mostrar o status de habilitação do AI Scan for pull requests, com:

• contagem de repositórios habilitados e não habilitados
• os filtros code-scanning-ai-scan-pr-scan:enabled e code-scanning-ai-scan-pr-scan:not-enabled
• uma coluna própria no CSV de cobertura

Ou seja, antes você via onde o AI Scan estava ligado

Agora você vê o que ele está gerando e se isso vira correção 😀

O que muda para times de segurança e desenvolvedores

Segundo o GitHub, os números ajudam times de segurança a avaliar a eficácia do AI Scan, entender a resposta dos desenvolvedores e decidir sobre rollout e investimento sem precisar abrir PR por PR

Essa é a promessa do GitHub, não uma medição independente, beleza?

Na prática, dá pra combinar as duas visões:

• Coverage view: mostra onde o AI Scan está habilitado e onde não está
• Aba AI Scan: mostra se as descobertas desses repos estão virando correção

Pra quem é dev, o recado é simples: a frequência com que você aplica o autofix agora fica visível pra gestão

Não é bicho de sete cabeças, mas é bom saber que esse número existe

A limitação que ninguém pode esquecer:

As métricas medem uso e remediação, não a precisão das descobertas

Taxa de remediação alta não prova que a IA acerta

O GitHub também não detalha, nas fontes consultadas, qual é o critério exato pra considerar uma descoberta como ‘resolvida’. Então vale tratar isso como um ponto de atenção, e não como uma regra confirmada: é possível que uma descoberta seja marcada como resolvida sem que isso comprove que o problema era real ou que foi corrigido da forma certa

Métrica de ferramenta sempre pede um pé atrás

Então use os números como sinal, não como veredito final =)

Vale olhar as métricas do AI Scan agora?

Se sua empresa já tem GitHub Code Security ou GitHub Advanced Security no github.com ou no Enterprise Cloud, vale sim

O próximo passo é abrir ‘Code scanning on pull requests’ no security overview e conferir a aba AI Scan

Recapitulando:

• as métricas mostram descobertas geradas e resolvidas, taxa de remediação, repos com achados, tendência e uso do autofix
• a página antiga virou ‘Code scanning on pull requests’, com abas CodeQL e AI Scan
• é public preview, e o Enterprise Server fica de fora por enquanto
• os números medem uso, não precisão

Como é preview, o changelog oficial do GitHub é o lugar certo pra acompanhar o que mudar daqui pra frente

E aí, sua org já está usando o AI Scan? Bora trocar uma ideia nos comentários!

Até o próximo post! 🙂