security overview で AI Scan の修正率を見る、GHES 非対応の public preview

組織や Enterprise で AI Scan for pull requests を使っているなら、その効き目は security overview でまとめて確認できるようになった。GitHub Changelog の2026年10月13日付の項目によると、組織と Enterprise の管理者が見られる指標は、AI Scan の検出数、解決数、修正率（remediation rate）、検出が出たリポジトリ、選んだ集計期間での推移、開発者が autofix の提案を適用した頻度だ。PR を一つずつ開いて数える必要はない。

使える条件は狭い。対象は github.com（GitHub Enterprise Cloud を含む）で、GitHub Code Security か GitHub Advanced Security を契約している顧客に限られる。GitHub Enterprise Server はこのリリースの対象外で、機能の段階は public preview である。

「CodeQL pull requests」は名前とタブ構成が変わった

既存の画面にも手が入っている。security overview の「CodeQL pull requests」ページは「Code scanning on pull requests」に改名され、CodeQL と AI Scan の二つのタブに分かれた。これまでこのページにあった指標は CodeQL タブの下に移っている。

社内の手順書や定例レポートが旧ページ名を指しているなら、名前とタブの位置を書き換えておくと迷わない。Changelog の説明は「指標が CodeQL タブの下にある」というもので、CodeQL 側の指標が削られたとは書かれていない。

AI Scan タブに出るのは、検出の総数と、autofix の提案が付いた検出・付かなかった検出の件数だ。

指標ごとに答えられる問い

指標	管理者が答えられる問い
生成された検出の数	AI Scan がどれだけ指摘を出しているか
解決された検出の数と修正率	指摘が実際に直されているか
検出が出たリポジトリ	どのリポジトリに指摘が集まっているか
選択した集計期間での推移	期間内で増えているか、減っているか
autofix 提案の適用頻度	開発者が提案を使っているか

出典：GitHub Changelog「Code scanning AI Scan metrics in security overview」（2026年10月13日）

Changelog はこの指標の用途を三つ挙げている。組織や Enterprise 全体で AI Scan の有効性を評価すること、開発者の反応を把握すること、そして展開と投資の判断を個々の PR を見ずに下すことだ。

autofix は「付いたか」と「使われたか」を分けて読む

autofix に関わる数字は二種類ある。AI Scan タブの「提案を含む検出・含まない検出の件数」は、提案が付いたかどうかを数えたものだ。新しい指標に挙がっている「開発者が autofix の提案を適用した頻度」は、付いた提案が実際に採用されたかを表す。

提案付きの検出が多くても適用頻度が低ければ、提案は出ているのに使われていない状態だと読める。提案が付かない検出が多い組織では、適用頻度だけを見ても全体はつかめない。その場合は修正率と並べると、提案なしの検出がどの程度直されているかの手がかりになる。ただし修正率の分母が何か、dismiss した検出をどう数えるかは Changelog に書かれていない。数字を経営判断の資料に載せる前に、定義を確かめておきたい。

展開判断に使う前の確認

数字を見られるかどうかは、契約とホスティング先で決まる。Code Security と GHAS のどちらも契約していない組織では使えない。GHES で運用している場合も、このリリースでは見られない。Changelog が閲覧者として挙げているのは組織と Enterprise の管理者である。

時系列も押さえておく。GitHub Changelog の一覧では、10月6日に「Code scanning AI Scan enablement status in security overview」、10月13日にこの指標の項目、10月15日に「AI Scan for pull requests generally available」が並んでいる。AI Scan 本体の GA は指標の発表より後だが、指標が今も public preview のままかどうかは、10月13日の項目からは判断できない。AI Scan 自体の検査範囲やマージへの扱いは、PR で Terraform や PHP を検査する AI Scan の記事で整理している。

導入済みの組織が今日できるのは、security overview の「Code scanning on pull requests」を開き、AI Scan タブで検出数と autofix の有無の内訳を一度見ておくことだ。集計期間を変えて推移を比べれば、展開を広げるか止めるかの材料が、PR を開かずにそろう。