Alesta WEB
Kısa cevap: GitHub 15 Ekim 2026'da iki yapay zekâ tabanlı güvenlik özelliğini genel kullanıma (GA) açtı. AI Scan for pull requests, CodeQL'in desteklemediği dillerde ve dosyalarda pull request değişikliklerini güvenlik açığı için tarıyor. Kapsamda PHP, Shell/Bash, Terraform (HCL), Dockerfile, JSP ve Blazor var. Herkese açık depolarda kullanılabiliyor, Copilot lisansı gerekmiyor. Bulgular yalnız öneri niteliğinde, birleştirmeyi engellemiyor. Agentic autofix ise kod tarama uyarısını Copilot'a atamanızı sağlıyor. Copilot kodu inceleyip düzeltmeyi yazıyor, CodeQL'i yeniden çalıştırıp uyarının kapandığını doğruluyor ve taslak pull request açıyor. Bu ikinci özellik yalnız Enterprise Cloud'daki Code Security / Advanced Security müşterilerine açık.
AI Scan ne tarıyor? (What AI Scan covers)
GitHub'ın kod tarama altyapısı yıllardır CodeQL'e dayanıyor. CodeQL güçlü, ama her dili desteklemiyor. Özellikle PHP ve kabuk betikleri gibi web ve altyapı projelerinde en sık kullanılan dosyalar dışarıda kalıyordu. AI Scan bu boşluğu kapatmak için tasarlandı ve CodeQL'in yerine değil, yanında çalışıyor.
| Kapsam | Tipik açık türleri |
|---|---|
| PHP | SQL enjeksiyonu, XSS, dosya yolu geçişi, güvensiz dosya yükleme |
| Shell / Bash | Komut enjeksiyonu, tırnaksız değişken, güvensiz geçici dosya |
| Terraform (HCL) | Herkese açık depolama, geniş güvenlik grubu kuralları, şifrelenmemiş kaynaklar |
| Dockerfile | Root kullanıcıyla çalışma, sabitlenmemiş taban imaj, imaja gömülü sır |
| JSP (Java) ve Blazor (C#) | Şablon katmanındaki XSS ve enjeksiyon hataları |
Tablodaki açık türleri bu dosya tiplerinde sık görülen örneklerdir. GitHub resmî listede yalnız dilleri ve çerçeveleri sayıyor, "ve daha fazlası" diyor. Bulgular pull request'in Conversation ve Files changed sekmelerinde CodeQL sonuçlarının yanında görünüyor ve "AI" işaretiyle ayrılıyor. Her bulguda riskin açıklaması ve çoğu zaman önerilen bir düzeltme var.
AI Scan'in sınırları ve ücreti (Limits and billing)
- Yalnız öneri: Bulgular kod tarama kontrolünü başarısız yapmıyor ve kural setleriyle birleştirmeyi engellemek için kullanılamıyor. Yani yapay zekânın yanlış alarmı derlemeyi durdurmuyor, ama gerçek bulguyu atlamak da ekibin dikkatine kalıyor.
- Çalışmadığı yerler: Fork'tan gelen pull request'ler ve Dependabot'un açtığı pull request'ler taranmıyor.
- Kimler kullanabilir: Kuruluş ya da kişisel hesaba ait herkese açık depolar. Özel ve kurum içi (internal) depolar için GitHub Code Security veya Advanced Security gerekiyor. Copilot lisansı gerekmiyor.
- Ücret: Tarama "Code Security AI Credits" tüketiyor. Kullanım, faturalandırma ekranının "AI usage" bölümünde "Advanced Security" altında görünüyor ve ürün düzeyinde bütçe konabiliyor.
Agentic autofix nasıl çalışıyor? (How agentic autofix works)
Eski "Generate Fix" düğmesi tek bir uyarı için tek dosyada öneri üretiyordu. Agentic autofix açıldığında bu düğmenin yerini Assign to Copilot alıyor ve süreç bir geliştiricinin çalışma biçimine benziyor:
- Uyarıyı Copilot'a atarsınız.
- Copilot ilgili dosyaları inceler ve düzeltmeyi yazar.
- CodeQL'i yeniden çalıştırıp uyarının kapandığını doğrular, kapanmadıysa tekrar dener.
- Düzeltmenin özetini, uyarıyı neden kapattığını ve doğrulama adımlarını içeren taslak bir pull request açar.
- Değişiklik istemek için pull request'e yorum yazarsınız ya da depodaki Agents sekmesini kullanırsınız.
Tek seferde güvenlik uyarıları listesinden 25 uyarıya kadar seçip hepsini tek pull request'te düzelttirmek mümkün. REST API ile de yapılabiliyor: kod tarama uyarısını güncelleme isteğinde assignees alanına ["copilot-swe-agent[bot]"] yazmak yeterli.
Sınırlama: yalnız deponun varsayılan dalındaki uyarılar atanabiliyor. Yalnız bir pull request'te veya başka dalda görülen uyarılar Copilot'a verilemiyor. Kullanım hem Code Security AI kredisi hem de GitHub Actions dakikası tüketiyor.
Nasıl açılır? (Enabling)
- AI Scan: Depoda kod taraması (code scanning) açıksa ve etkin AI Scan ayarı açıksa pull request'lerde kendiliğinden çalışıyor.
- Agentic autofix: Önce kuruluş yöneticisi Advanced Security politikalarında "Agentic autofix" kuralını açıyor. Sonra organizasyon ya da depo yöneticisi Code Security ayarlarından etkinleştiriyor. Bir Copilot faturalandırma yöntemi tanımlı olmalı.
PHP projeleri için ne anlama geliyor? (What it means for PHP)
Türkiye'deki web projelerinin büyük kısmı hâlâ PHP ile yazılıyor ve bu projeler GitHub'ın yerleşik güvenlik taramasından bugüne kadar pek yararlanamıyordu. AI Scan'in açık kaynak depolarda ücretsiz olması, PHP ile yazılmış açık kaynak kütüphaneler için iyi bir haber. Özel depolarda ise ücretli lisans gerekiyor. Burada yapay zekâ taramasını mevcut statik analiz araçlarının (PHPStan, Psalm gibi) yerine değil, yanına koymak doğru olur.
Unutulmaması gereken nokta: yapay zekâ taraması olasılığa dayalıdır. Aynı kodda iki çalıştırma farklı sonuç verebilir, yanlış alarm da üretebilir. GitHub'ın bulguları "öneri" düzeyinde tutması bu yüzden. Alesta WEB'de kod incelemesinde otomatik araçların bulgularını bir geliştiricinin elinden geçirmeden birleştirmiyoruz. Agentic autofix'in değişikliği taslak pull request olarak açması da aynı ilkeye uyuyor.
Sık sorulan sorular
AI Scan için Copilot aboneliği gerekiyor mu?
Hayır. Herkese açık depolarda Copilot lisansı olmadan çalışıyor. Özel depolarda Code Security veya Advanced Security gerekiyor.
AI Scan bulgusu pull request'i engeller mi?
Hayır. Bulgular kontrolü başarısız yapmıyor ve kural setinde birleştirme koşulu olarak kullanılamıyor.
Agentic autofix kodu doğrudan ana dala mı yazıyor?
Hayır, her zaman taslak pull request açıyor. Birleştirme kararı sizde.
Bireysel GitHub Pro hesabıyla agentic autofix kullanabilir miyim?
Şu an hayır. Yalnız GitHub Enterprise Cloud üzerindeki Code Security / Advanced Security müşterilerine açık.
Kaynaklar (References)
İlgili yazılar: GitHub Actions kilit dosyası · Copilot CLI yerel modeller · Android Studio BYOA · Web yazılım hizmetleri · İletişim
Kapak fotoğrafı: Roman Synkevych / Unsplash
