GitHub Copilot 应用推出安全扩展公开预览
desltive5 分钟阅读GitHub 于 2026 年 10 月 28 日发布 GitHub Copilot 应用的安全扩展，目前处于公开预览阶段。该扩展把仓库的代码扫描告警引入 Copilot 应用，让开发者不必在 github.com 告警页与编辑器代码之间来回切换，即可查看、解释、修复和关闭告警，并可在提交拉取请求前对本地改动运行安全审查。
从查看告警到在应用内修复
安全扩展面向已启用代码扫描的仓库，展示其中处于打开状态的代码扫描告警。列表按严重程度排序，并提供搜索与筛选，便于缩小范围。打开单条告警可查看详情和受影响代码，需要更多上下文时仍可跳转到 github.com 上的完整告警页面。
选中一条或多条告警后，可以让 Copilot 执行 Explain 或 Fix。修复只写入本地工作副本，Copilot 不会提交或推送任何内容，开发者可在应用中审阅和迭代，准备好后再自行推送。告警还会显示关联的拉取请求，帮助判断是否已有人在处理同一问题；不打算修复的告警可以直接忽略，若组织启用了委派忽略审批流程，扩展会把忽略请求提交审批。
提交 PR 前运行 /security-review
扩展新增 /security-review 命令，可对当前改动运行安全审查，结果与已有告警并列展示。当代码在上次审查后发生变化时，扩展会给出提示，提醒开发者重新运行。
除命令外，开发者也可以在聊天中询问告警相关问题。Copilot 调用安全扩展的工具时，与其他工具一样遵循用户的工具权限设置。
安装方式与启用行为
安装有两种途径：在终端运行 copilot plugin install github-security@awesome-copilot，或在 GitHub Copilot 应用中点击 Customize，搜索 github-security 后点击 + Install。安装完成后扩展会自动启用，可从仓库对应会话中打开 Security canvas。
Explain、Fix 和 /security-review 使用应用内已选模型，并按与其他提示相同的方式消耗 AI credits；浏览和忽略告警不消耗 AI。
平台、套餐与权限范围
该扩展在 github.com 和带数据驻留的 GitHub Enterprise Cloud 上处于公开预览，不支持 GitHub Enterprise Server。任意 Copilot 套餐均可安装扩展并对本地改动运行 /security-review。
对于 Copilot Business 和 Copilot Enterprise，管理员需要启用 GitHub Copilot 应用策略，并可通过企业托管设置控制开发者可安装哪些插件。查看、修复和忽略已有告警需要仓库启用代码扫描且用户拥有查看告警的权限；私有仓库还需 GitHub Code Security。
知序观察
观察：这一扩展把代码扫描告警的处理流程收拢到 Copilot 应用内，减少在网页告警页与编辑器之间切换的成本，并以“只改本地、不自动提交”的方式保留人工审阅环节。对已启用代码扫描的团队，它可能改变安全修复的日常入口；但私有仓库需额外具备 GitHub Code Security，企业侧还需管理员开启应用策略并管理插件安装范围，实际落地取决于这些前置条件。
本文由知序新闻雷达根据公开来源自动整理，观察部分为编辑性解读。信息以原文为准。
来源：GitHub Changelog · Security extension for the GitHub Copilot app
原文发布时间：2026-10-28 23:45（Asia/Shanghai）