Autofix agêntico do GitHub chega à disponibilidade geral: o Copilot corrige alertas de code scanning e valida a correção com CodeQL

Fala aí, beleza? O GitHub acabou de tirar da preview o recurso que pega um alerta de segurança, corrige o código e ainda confere se a correção funcionou antes de te entregar o PR 😀

Desde 15/10/2026, o autofix agêntico para alertas de code scanning está em disponibilidade geral (GA), segundo o changelog oficial do GitHub

Quem tem acesso: clientes de GitHub Code Security ou GitHub Advanced Security no GitHub Enterprise Cloud, inclusive no GitHub Enterprise Cloud com residência de dados. A documentação do GitHub também cita repositórios públicos elegíveis de conta pessoal como aptos a habilitar o recurso diretamente; a exclusão explícita que ela faz é para repositórios de Enterprise Managed Users

E já fica a principal limitação logo de cara: só funciona com alertas da branch padrão do repositório

Como o autofix agêntico corrige e valida alertas com CodeQL

Você atribui o alerta ao Copilot e ele trabalha no repositório do jeito que um dev faria, e não só no trecho apontado pelo alerta

Por baixo, isso inicia uma sessão de agente que explora o código além do arquivo afetado, segundo a documentação do GitHub

O fluxo é este:

1. Explora os arquivos relevantes do código
2. Gera uma proposta de correção
3. Roda o CodeQL de novo pra validar que o alerta foi resolvido
4. Itera se precisar
5. Abre um pull request em rascunho pronto pra revisão

O passo 3 é o que faz diferença, né?

Em vez de te entregar um patch e torcer pra ele resolver, o Copilot tenta validar a correção rodando de novo a mesma ferramenta (CodeQL) que gerou o alerta

Mas essa validação funciona em modelo best-effort: segundo a documentação, ela não cobre alertas vindos de queries CodeQL customizadas, da suite security-extended ou de ferramentas de terceiros. Pra esses casos, a confirmação de que o alerta foi mesmo resolvido ainda depende de revisão humana

O PR chega com um resumo da correção, a explicação de por que ela fecha o alerta e os passos de validação que o Copilot seguiu

Se quiser mudar algo, tu comenta no próprio PR ou interage com a sessão na aba Agents do repositório

O recurso não surgiu do nada: estava em public preview desde 10/07/2026 e agora virou GA

Assign to Copilot substitui o Generate Fix: as três formas de usar

Quando o recurso está habilitado, o botão Assign to Copilot toma o lugar da opção gratuita Generate Fix nos alertas individuais de code scanning

Ou seja, quem estava acostumado com o Generate Fix vai perceber a troca na tela do alerta

Dá pra usar de três jeitos:

1. Um alerta por vez: em qualquer alerta de code scanning da branch padrão, atribui o alerta ao Copilot
2. Em lote: na lista de alertas de segurança do repositório ou de uma security campaign, seleciona até 25 alertas pra o Copilot corrigir juntos em um único PR
3. Via API: no endpoint REST Update a Code Scanning Alert, define o campo assignees apontando pro bot do agente do Copilot (o valor exato está no changelog da GA)

O caminho da API é o mais interessante pra quem quer encaixar isso em automação própria, tipo um script que distribui alertas pra o Copilot em vez de abrir na mão um por um

Quem mais ganha aqui são os times de segurança e de plataforma que estão com aquela pilha de alertas parados há meses (todo mundo conhece um backlog desses haha)

Mas se liga: o PR sai em rascunho justamente pra passar por revisão humana

A validação com CodeQL confirma que o alerta fechou (quando a query é suportada), e isso NÃO é a mesma coisa que confirmar que a mudança faz sentido pro seu sistema

Quem já organiza o fluxo de revisão com stacked pull requests no GitHub vai precisar pensar onde esses PRs gerados pelo Copilot entram na fila

Quem pode usar e o que precisa estar habilitado

O recurso é para clientes de GitHub Code Security ou GitHub Advanced Security no GitHub Enterprise Cloud, com ou sem residência de dados

A documentação também lista repositórios públicos elegíveis de conta pessoal como aptos a habilitar o recurso diretamente, sem depender das políticas de enterprise abaixo; a exclusão explícita é para repositórios de Enterprise Managed Users

Pra quem está dentro do GitHub Enterprise Cloud, a habilitação acontece em dois níveis:

1. Um administrador da enterprise ativa a nova política "Agentic autofix" em Advanced Security policies
2. Depois disso, um administrador da organização ou do repositório liga o recurso nas configurações de Code Security da organização ou do repositório

Além disso, precisa existir um método de cobrança do Copilot definido

Tome cuidado com a ordem: se a política da enterprise não estiver ligada, o admin da organização ou do repositório não tem o que ativar lá embaixo

Limitações e custo do autofix agêntico

A limitação mais importante: só vale pra alertas da branch padrão

Alertas detectados apenas em pull requests ou em outras branches não podem ser atribuídos ao Copilot

Outra limitação, já comentada acima: a validação automática via CodeQL não cobre queries customizadas, a suite security-extended nem ferramentas de terceiros

Na parte de custo, o uso consome AI Credits do orçamento de Code Security e também minutos de GitHub Actions

Esse consumo aparece na seção "AI usage" de enterprise billing and licensing, listado como o produto "Advanced Security"

E dá pra definir orçamentos por SKU para os AI credits de Code Security, o que ajuda a evitar surpresa quando alguém resolver mandar vários lotes de 25 alertas de uma vez

O changelog não informa valores nem quantos créditos cada sessão gasta, então confere preço e políticas direto na documentação oficial do GitHub antes de liberar pra o time inteiro

Vídeo complementar do canal

Se tu curte esse papo de agente de IA mexendo no código, aqui vai um conteúdo do canal Hora de Codar sobre o MiMo Code, um agente de código com IA gratuito

E se o interesse for o lado do Copilot rodando localmente com mais isolamento, vale ver também o sandbox local do GitHub Copilot

Próximo passo para o seu time

Primeiro, o admin da enterprise confere se a política "Agentic autofix" está ativa em Advanced Security policies e se o método de cobrança do Copilot está definido

Depois, o time define um orçamento por SKU para os AI credits de Code Security antes de começar a atribuir alertas em lote

Por fim, combina quem revisa os PRs em rascunho que o Copilot abrir, e com qual critério, pra que "o CodeQL passou" não vire sinônimo de "pode dar merge": principalmente nos casos em que a validação automática não se aplica

Os detalhes completos estão na documentação do autofix e no changelog da GA

Até o próximo post! 🙂

Quer aprender mais sobre inteligência artificial e programação na prática? Conheça o canal Hora de Codar no YouTube e acompanhe os próximos vídeos.