GitHub fornece duas experiências de autofixo separadas para code scanning alertas: agentic autofix e Copilot Autofix. Ambos usam LLMs (modelos de linguagem grandes), dados da base de código e code scanning análise para gerar possíveis alterações de código e explicações. No entanto, eles têm fluxos de trabalho, resultados, requisitos de acesso e uso diferentes.
Quais são os dois tipos de autofix?
Agentic Autofix e Copilot Autofix resolvem problemas diferentes:
- Use agentic autofix quando quiser que Copilot investigue e corrija um ou mais alertas para você, de ponta a ponta.
- Use Copilot Autofix quando quiser uma única alteração de código sugerida para um alerta que você revisa e aplica por conta própria.
Com agentic autofix, você atribui um ou mais alertas a Copilot. Ele explora a base de código, gera uma correção e valida as alterações. Em seguida, ele abre uma pull request em rascunho que contém a correção proposta.
Com Copilot Autofix, GitHub gera uma única alteração de código sugerida para um alerta compatível. Você pode usar essa sugestão para criar uma pull request por conta própria.
Onde o autofix está disponível?
O acesso aos dois recursos funciona de formas diferentes. Para agentic autofix em um repositório de propriedade da organização, um proprietário da organização ou gerente de segurança deve habilitá-lo. Se a organização pertencer a uma empresa, um proprietário da empresa ou gerente de segurança também deverá permitir isso. A ativação no nível da organização ativa isso por padrão para repositórios qualificados, mas um administrador de repositório pode desativá-lo ou habilitá-lo novamente quando as configurações de nível superior permitirem.
Para um repositório público qualificado de propriedade de uma conta pessoal, um administrador de repositório pode habilitar agentic autofix diretamente. Você não precisa de uma licença Copilot para usar agentic autofix, mas ela não está disponível para repositórios pertencentes a Enterprise Managed Users. Confira Gerenciando o acesso à correção automática agentic para verificação de código para obter detalhes.
Copilot Autofix, por outro lado, é habilitado por padrão para qualquer repositório que usa CodeQL, a menos que um administrador o desabilite. Está disponível para todos os repositórios públicos em GitHub.com. Ele também está disponível para repositórios internos ou privados de propriedade de organizações e empresas que têm uma licença para GitHub Code Security. Ao contrário de agentic autofix, Copilot Autofix está disponível para repositórios de propriedade de Enterprise Managed Users.
Escolhendo um tipo de autofix
Os custos de uso também influenciam qual recurso usar. Cada agentic autofix sessão do agente consome AI credits e GitHub Actions minutos, enquanto Copilot Autofix correções sugeridas não consomem AI credits.
Se agentic autofix não estiver habilitado para um repositório, você ainda poderá usar Copilot Autofix para gerar correções sugeridas para alertas com suporte.
Usando agentic autofix
Use agentic autofix quando quiser Copilot investigar um ou mais alertas e preparar um pull request de rascunho. Você pode atribuir agentic autofix alertas da lista de pendências do repositório ou de uma campanha de segurança. Cada tarefa inicia uma sessão de agente. A sessão explora a base de código além do arquivo afetado e, em seguida, gera e valida uma correção. Ele abre uma pull request com as alterações. Consulte Resolver alertas de varredura de código.
Tenha o seguinte em mente:
- Para obter detalhes sobre como habilitar agentic autofix no nível da organização, da empresa ou do repositório, consulte Gerenciando o acesso à correção automática agentic para verificação de código.
- Agentic Autofix consome créditos de IA do Code Security e GitHub Actions minutos. Consulte GitHub Advanced Security cobrança de licença.
- Copilot usa as instruções personalizadas que se aplicam quando gera um ajuste. Consulte Adicionar instruções personalizadas para Copilot.
- Agentic Autofix funciona em regime de melhor esforço.
Copilot valida correções executando novamente CodeQL com o code scanning conjunto de consultas. Não é possível confirmar correções para alertas de consultas personalizadas CodeQL, do conjunto de consultas
security-extendedCodeQL ou alertas code scanning de ferramentas de terceiros.
Sempre examine e teste as alterações geradas antes de mesclar o pull request.
Usando Copilot Autofix
Copilot Autofix funciona da mesma maneira se um repositório usa a configuração padrão ou avançada para code scanning. Não há nenhuma etapa separada para habilitá-la: habilitar code scanning com CodeQL é suficiente. Consulte Como definir a configuração padrão da verificação de código.
Copilot Autofix também é parte integrante de GitHub Code Quality, e continua a ser executado com base nos resultados de qualidade do código mesmo quando está desabilitado para resultados de code scanning.
Os administradores nos níveis corporativo, organizacional e repositório podem desabilitar Copilot Autofix. Configurações em cascata para baixo: se um proprietário da empresa não permitir o recurso, nenhuma organização ou repositório nessa empresa poderá habilitá-lo e, se um proprietário da organização o desabilitar, nenhum repositório nessa organização poderá habilitá-lo novamente. Para restaurar o recurso em um determinado nível, um administrador nesse nível ou um nível acima deve reverter a configuração. Para saber como gerenciar Copilot Autofix em cada nível, consulte Desativação da Correção Automática do Copilot para análise de código.