GitHub Copilot Autofixとは？対応言語・料金とエージェント型autofixのGA変更点【2026年10月】

GitHub Copilot Autofixは、CodeQLが検出したコードスキャンアラートに対して、修正済みのコードそのものを提案する機能です。2024年8月14日の一般提供開始時に「code scanning autofix」から現在の名称へ改称されたため、古い解説記事と公式ドキュメントで呼び名が食い違っています。さらに2026年10月15日には、関連ファイルを読んで修正を検証し、ドラフトPRまで作るエージェント型autofixが一般提供（GA）になりました。GAに合わせて、プレビュー時点では必須だったCopilotライセンスが不要になり、課金の出どころもCode Securityの予算へ移っています。本記事では2026年10月24日時点の公式ドキュメントとGitHub Changelogをもとに、対応言語、無料で使える範囲と有料ライセンスの境界、エージェント型の有効化手順とREST APIでの割り当て、そして公式が自ら挙げている失敗モードまでを整理します。

まとめ：Copilot Autofixの料金・対応言語とエージェント型GAの要点

• 名称：ベータ時の「code scanning autofix」は、2024年8月14日のGAで「Copilot Autofix」に改称された。CodeQLコードスキャンの一機能であり、コード補完のGitHub Copilotとは課金も提供条件も別。
• 対応言語：C#、C/C++、Go、Java/Kotlin、Swift、JavaScript/TypeScript、Python、Ruby、Rustの9系統。ただし対象はdefaultとsecurity-extendedクエリスイートに含まれるクエリの一部。
• 料金：GitHub.comの全パブリックリポジトリは無料。組織・Enterprise配下のプライベート／内部リポジトリはGitHub Code Security（1アクティブコミッターあたり月額30ドル）のライセンスが必要。従来型はCopilotのサブスクリプション不要。
• 有効化：従来型はCodeQLコードスキャンを有効にしたリポジトリで既定オン。エージェント型はEnterpriseの「Agentic autofix」ポリシーを許可したうえで、組織またはリポジトリの設定でオンにする。
• エージェント型：2026年7月10日にパブリックプレビュー、同年10月15日にGA。CodeQLを再実行して修正がアラートを閉じるか検証し、ドラフトPRを作る。GA版はCopilotライセンス不要で、Code Securityの予算からAI CreditsとActionsの実行時間を消費する。対象は既定ブランチのアラートのみ。

判断の軸は1つです。既定ブランチに溜まったセキュリティ債務を件数で減らしたいならエージェント型、PRで出た新規アラートを開発者がその場で直す運用なら従来型で足ります。以下、名称の整理から料金の線引き、GA後のエージェント型の仕様、自動マージに載せてはいけない条件までを順に見ていきます。

Copilot Autofixの位置づけと旧称からの改称経緯

code scanning autofixから2024年8月14日GAでの改称経緯

この機能は2024年3月20日にパブリックベータとして「code scanning autofix」の名前で登場し、同年8月14日の一般提供開始にあわせて「Copilot Autofix」へ改称されました。中身が入れ替わったのではなく、GitHub Copilotブランドへ統合された結果の名称変更です。

実害が出るのは、GitHubのUI表記が新名称になっている点です。リポジトリのアラート画面には「Copilot Autofix」としか出ないため、2024年前半に旧名称で書かれた手順書と画面の対応が取れません。2026年10月時点では設定画面のサイドバー名も「Security and quality」に変わっており、古い手順書の「Security」セクションという表記とも食い違います。公式ドキュメントを検索するときも新名称で当たったほうが確実です。

コード補完のGitHub Copilot・Copilotコードレビューとの3者の違い

名前が似ているだけで、この3つは別物です。エディタ上でコードを補完するGitHub Copilotは有料サブスクリプション（Copilotライセンス）が前提で、対象は「これから書くコード」です。Copilotコードレビューはプルリクエスト全体に対して人間のレビュアーのようなコメントを付けます。依頼方法や料金の扱いはGitHub Copilotのコードレビュー｜依頼方法・自動化・日本語化と料金で整理しています。Copilot Autofixが扱うのは、CodeQL（および対応するパートナー製ツール）が「脆弱性である」と判定したアラートに限られ、指摘の根拠は生成AIの推測ではなく静的解析の結果です。

提案が既存のコードスキャンアラートに必ず紐づくため、「なぜこの修正が必要か」を解析結果まで遡って追跡できる点が、責任範囲の面での違いになります。CodeQL自体の仕組みや設定手順はGitHub Code Scanningとは？CodeQLの設定手順・対応言語・料金とAI Scan【2026年10月】で扱っています。

Copilot Autofixの対応プログラミング言語とクエリスイートの適用範囲

2026年10月時点で公式に対応している9系統の言語と追加の時期

GitHub公式のApplication card: GitHub security and quality AI features（旧「Responsible use of Copilot Autofix for code scanning」）が挙げる対応言語は、C#、C/C++、Go、Java/Kotlin、Swift、JavaScript/TypeScript、Python、Ruby、Rustです。2024年3月のベータ開始時点ではJavaScript/TypeScript、Java、Pythonの3系統のみで、C#は同年4月26日のCodeQL 2.17.1で追加されました。RustやSwift、Kotlinを「今後の対応が期待される言語」として紹介している記事は、この初期状態のまま情報が止まっています。

言語の対応可否はCodeQL側の解析対応と連動します。CodeQLが解析できない言語ではそもそもアラートが出ないため、autofixの対象にもなりません。GitHubが提供する他の解析機能との対応言語の違いはGitHub Code Qualityとは？料金・対応言語・PHPの扱いと導入手順と見比べると把握しやすくなります。なお公式ドキュメントは、Copilot AutofixがGitHub Code Qualityの指摘にも組み込まれており、コードスキャン向けに無効化しても品質指摘の側では動き続けると注記しています。

対応言語でも修正案が出るのはクエリスイートの一部に限られる制約

見落とされやすいのが、対応言語であっても全アラートに修正案が出るわけではないという点です。公式ドキュメントは、Copilot Autofixがカバーするのはdefaultおよびsecurity-extendedクエリスイートに含まれるクエリのサブセットであると明記しています。自作のカスタムクエリで検出したアラートは対象外です。

この範囲は固定ではありません。2025年2月20日のChangelogでは対象アラートが拡張され、全CodeQLアラートの29%を占めるグループについて修正案の生成が270%増、autofixが利用できるアラート全体では8%増になったと報告されています。裏を返せば、それ以前の版では約3割のアラート群でほとんど修正案が出ていなかったことになります。

ESLintなどパートナー製ツールのSARIFアラートへの対応状況と注意点

2024年10月29日のChangelogで、Copilot AutofixはCodeQL以外のコードスキャンツールにも対応範囲を広げました。最初のパートナーがESLintで、JFrogのSASTとBlack DuckのPolarisはこの時点では「今後のChangelogで告知する」と予告された段階でしたが、その後いずれも対応済みとなっています。ESLintの検出結果を渡すには@microsoft/eslint-formatter-sarifでSARIF形式に変換し、GitHub Actionsのワークフローからアップロードします。

ただし公式ドキュメントは、エージェント型autofixの説明のなかで、サードパーティ製ツールのアラートについては修正がアラートを閉じたことを確認できないと注記しています。パートナーツール経由のアラートは、CodeQLのアラートと同じ精度を前提に運用しないほうが安全です。静的解析ツール自体の選定を検討している場合はSemgrepとは？使い方・ルールの書き方・料金と無料版の検出範囲【v1.180で実測】もあわせて比較材料になります。

Copilot Autofixの無料範囲とCode Securityの料金条件

パブリックは無料・プライベートは有料ライセンスというリポジトリ別の線引き

GitHub.com上の全パブリックリポジトリでは、2024年9月からCopilot Autofixが無償で使えます。公式ドキュメント「About autofix for code scanning」が利用可能な範囲として挙げるのは、このパブリックリポジトリと、GitHub Code Securityのライセンスを持つ組織・Enterpriseが所有するプライベート／内部リポジトリの2つです。GitHub Teamプランの組織が所有し、Code Securityを有効にしたリポジトリもこの範囲に入ります。個人アカウントのプライベートリポジトリはこの記述に含まれません。従来型のCopilot Autofixに関しては、GitHub Copilot本体のサブスクリプションは不要である点も公式に明記されています。

個人開発で試そうとして詰まるのはこの3行目です。まずパブリックリポジトリで挙動を確認するのが手堅い進め方になります。4行目のEnterprise Managed Users（EMU）は、従来型は使えるのにエージェント型だけが対象外という、2026年10月のGAで明文化された差です。2列目の「条件付き」は、公式ドキュメントが個人アカウント所有の対象パブリックリポジトリについてリポジトリ管理者が直接有効化できると書いている一方、GA告知の提供対象はGitHub Enterprise Cloudの顧客と書かれているためです。

Code Security月30ドルとSecret Protection月19ドル

2025年3月4日の発表により、GitHub Advanced Security（GHAS）は2025年4月1日からGitHub Code SecurityとGitHub Secret Protectionの2製品に分割されました。価格はGitHub Code Securityが1アクティブコミッターあたり月額30ドル、GitHub Secret Protectionが同19ドルです。Copilot Autofixは前者に含まれます。

この分割で実務的に大きいのは、GitHub Enterpriseを契約していないGitHub Teamプランの組織でも、従量課金でCode Securityを購入できるようになったこと。分割前は「Enterprise契約が前提のGHAS一括購入」だったため、シークレットスキャンだけが欲しい組織もSAST込みの費用を払う必要がありました。分割後の価格体系と課金の数え方はGitHub Advanced Securityとは｜Secret Protection月19ドル・Code Security月30ドルの料金と課金の数え方【2026年】で整理しています。

課金単位の「アクティブコミッター」は、公式ドキュメントの定義では直近90日以内にそのリポジトリへコミットがプッシュされていれば、コミットが元々いつ作成されたかを問わずアクティブ扱いになります。月内の稼働だけで数える方式ではないため、四半期に一度しか触らない開発者も課金対象に入ります。見積もりでは全社員数ではなく、直近90日の実プッシュ実績を基準にしてください。エージェント型を使う場合は、このライセンス費とは別にAI CreditsとActionsの実行時間が従量で乗ります（後述）。

従来型Copilot Autofixの有効化手順と修正提案が出るまでの流れ

CodeQLの有効化だけで従来型autofixが既定オンになる設定の3手順

従来型のautofixを個別に有効化する設定項目はありません。公式ドキュメントの表現では「CodeQLを使う全リポジトリで既定で有効」で、default setupでもadvanced setupでも同じように動きます。したがって作業はCodeQLコードスキャンの有効化だけになります。有効化のトグルは存在しない一方で、組織・リポジトリの管理者やEnterpriseのポリシーによる無効化の口は用意されている、という非対称な設計です。

1. リポジトリのSettingsを開き、サイドバーの「Security and quality」セクションからAdvanced Securityへ移動する
2. Code Securityの区画で、CodeQL analysisの右にあるSet upからDefaultを選ぶ
3. Languagesで解析対象の言語を、Query suitesでクエリスイートを確認し、Enable CodeQLを実行する

ワークフローを細かく制御したい場合はDefaultではなくAdvancedを選び、github/codeql-actionを含むワークフローファイルを直接編集します。CI側で解析タイミングやビルド手順を指定したいケース、モノレポで対象パスを絞りたいケースはこちらです。GitHub ActionsでCodeQL解析を回していれば、CIパイプラインへの組み込みに追加の設定は要りません。

止めたいときの手順はDisabling Copilot Autofix for code scanningにあります。Enterpriseのポリシーで「Not allowed」にすると配下の組織・リポジトリでは有効化できず、組織で無効にすると配下のリポジトリでは戻せない、という上から下への継承です。無効化した時点で、対象PRに付いていた未処理の修正提案コメントは閉じられます。再度有効にしても提案が出るのは新しいPRだけなので、既存PRに出し直すにはコードスキャンを再実行します。

プルリクエスト上の新規アラートと既定ブランチの過去アラートへの修正提案

2024年9月のChangelogは、autofixが「プルリクエスト上と過去のアラートの両方に対して」自動修正を提供すると記述しています。プルリクエストでCodeQLが新規アラートを検出すると、該当箇所に修正案が差分として表示され、開発者はコードを書かずにその差分を受け入れてコミットできます。修正の意図を説明する文章も併記されるため、提案の妥当性を判断する材料が差分と同じ画面に揃う。「検出だけして直し方は自分で調べる」従来の静的解析との決定的な差はここです。

デフォルトブランチに既に存在する過去のアラート、いわゆるセキュリティ債務についても、アラート画面から同様に修正案を生成できます。ただしエージェント型を有効にした組織では、この画面のボタンが置き換わる点に注意が要ります（次章）。

1キャンペーン1,000件・同時10件の上限があるセキュリティキャンペーン

2025年4月に一般提供が始まったセキュリティキャンペーンは、蓄積したアラートをまとめて扱う仕組みです。セキュリティチーム側でトリアージと優先度付けを行い、コードスキャンアラートに対して一度にCopilot Autofixの修正案を生成させ、開発チームへ配ります。同じGA告知で、公開前に対象範囲を詰められるドラフトキャンペーンも導入されました。

運用設計で効いてくるのが上限値です。1キャンペーンに含められるアラートは最大1,000件、同時にアクティブにできるキャンペーンは最大10件（クローズ済みのキャンペーン数に上限はありません）。数万件規模の債務を抱えている場合、この上限が実質的なバッチサイズになるため、リポジトリ単位ではなく脆弱性種別や重大度で切って回すほうが管理しやすくなります。2025年9月にはシークレットスキャンのアラートを対象にしたキャンペーンとアラートの担当者アサインも追加されました。

エージェント型autofixの2026年10月15日GAで変わった条件と使い方

CodeQL再実行で修正を検証しドラフトPRを開くエージェント型の処理フロー

2026年7月10日にパブリックプレビューとなったエージェント型autofixは、2026年10月15日のGitHub Changelogで一般提供になりました。従来型が「アラート箇所に対する修正差分を1つ生成する」のに対し、エージェント型はアラートをCopilotに割り当てると、関連ファイルを横断的に読み、修正案を作り、CodeQLを再実行して実際にアラートが閉じるかを検証し、必要なら作り直したうえでドラフトプルリクエストを開きます。プレビュー告知では修正生成にかかる時間は2〜4分が目安とされていました。

PRには、修正の要約、それがアラートを閉じる理由、Copilotが確かめた検証手順が記載されます。追加の修正を指示できる場所は2つです。作成されたPRへのコメントに修正内容を書き込む方法と、リポジトリのAgentsタブで該当するセッションを開いて追加の修正内容を伝える方法があります。公式ドキュメントによると、修正の生成時にはリポジトリのカスタム指示も読み込まれるため、copilot-instructions.mdとは？書き方とサンプル・配置場所、AGENTS.mdとの違い【2026年10月】で解説している指示ファイルに社内のコーディング規約を書いておくと、修正差分の書きぶりを揃えられます。

従来型の提案が的外れかどうかは人間がレビューして初めて分かりましたが、エージェント型は「そのアラートは消える」ところまで機械的に確認済みの状態で上がってくる。ただし検証にはcode-scanningクエリスイートでの再実行が使われるため、公式ドキュメントはカスタムクエリ、security-extendedクエリスイート、サードパーティ製ツール由来のアラートについては、修正が解決したことを確認できないと注記しています。エージェント型を導入しても、この3系統のアラートは人間のレビュー負荷が下がりません。

プレビュー版とGA版で変わったライセンス・課金・対象範囲の比較

GAで条件が大きく動いています。2026年7月10日のプレビュー告知とGA告知を並べると、差は次のとおりです。

実務への影響が大きいのは上の2行です。プレビュー時点ではCopilotクラウドエージェントが有効なCopilotライセンスを前提にしていたため、Copilotを契約していない組織は試せませんでした。GA版は公式ドキュメントが「エージェント型autofixの利用にCopilotライセンスは不要」と明記しており、Code Securityだけを契約している組織でも対象になります。ただしGA告知は、Copilotの課金方法（billing method）が設定済みであることをアクセスの条件に挙げています。ライセンスは要らないが、従量課金の受け皿は要るという整理です。

逆に狭まったのが割り当て対象です。GA版で割り当てられるのはリポジトリの既定ブランチにあるアラートだけで、プルリクエストや他のブランチでのみ検出されたアラートはCopilotへ割り当てられません。PR上の新規アラートは従来型の修正提案で直し、既定ブランチに残った債務をエージェント型へ回す、という分担が仕様上の前提になりました。

Code SecurityのAI Creditsとアクション実行時間による従量課金の見方

GA版のエージェント型は、セッションごとにCode Securityの予算からAI Creditsを消費し、あわせてGitHub Actionsの実行時間も消費します。AI Creditsの使用量はEnterpriseの請求・ライセンス画面の「AI usage」に「Advanced Security」製品として表示され、Code Security向けAI CreditsにはSKU単位の予算も設定できます。プレビュー期間中はほかのCopilot利用と分けて明細化されていなかったため、機能単位の費用が見えるようになったのはGAの改善点です。従来型の修正提案はAI Creditsを消費しません。

AI Creditsの単価やCopilot側の従量課金との関係はGitHub Copilotの料金（pricing）｜AI Credits移行後のプラン比較とBilling APIでの使用量集計【2026年10月】にまとめています。エージェント型は検証のためにCodeQLを再実行するので、解析に時間のかかる大きなリポジトリほどActionsの実行時間が膨らみます。最初はSKU予算に上限を置き、対象リポジトリを数本に絞って1アラートあたりの実コストを測ってから広げるのが現実的です。

Enterpriseポリシーから組織・リポジトリへ順に許可する有効化の3階層

従来型が「既定オン・無効化のみ可能」だったのに対し、エージェント型は「既定オフ・上位から順に許可」です。手順は次の3段になります。

1. Enterpriseの管理者が、Advanced Securityのポリシーに新設された「Agentic autofix」ポリシーでアクセスを許可する
2. 組織のオーナーまたはセキュリティマネージャーが、組織のCode Security設定でエージェント型autofixをオンにする（対象リポジトリに既定で適用）
3. リポジトリ管理者は、上位の設定が許す範囲で個別にオプトアウト、または再有効化する

有効にすると、個別のコードスキャンアラート画面にあった無料の「Generate fix」が「Assign to Copilot」ボタンに置き換わります。アラート画面から無料でワンショット生成する運用を前提にしていた組織は、ここでコスト構造が変わる点に注意してください。公式ドキュメントは、エージェント型が有効になっていないリポジトリでは引き続き従来型で修正案を生成できると書いています。費用を抑えたいリポジトリは、組織設定でオンにしたうえでリポジトリ側からオプトアウトする形での切り分けが可能です。Copilotのエージェント動作そのものについてはGitHub Copilotエージェントモードの使い方｜Ask・Plan・Agentの違いと承認設定・料金で扱っています。

REST APIでcopilot-swe-agentへ割り当てるコード例

UI操作のほか、アラート一覧やセキュリティキャンペーンの画面で最大25件を選んで1つのPRにまとめることもできます。自動化するならREST APIの「Update a code scanning alert」で、assigneesにcopilot-swe-agent[bot]を設定します。エンドポイントはPATCH /repos/{owner}/{repo}/code-scanning/alerts/{alert_number}で、classicトークンならsecurity_eventsスコープが必要です。

# アラート番号42をエージェント型autofixへ割り当てる（OWNER/REPOは自分の値に置き換える）
curl -L \
  -X PATCH \
  -H "Accept: application/vnd.github+json" \
  -H "Authorization: Bearer $GITHUB_TOKEN" \
  -H "X-GitHub-Api-Version: 2026-03-10" \
  https://api.github.com/repos/OWNER/REPO/code-scanning/alerts/42 \
  -d '{"assignees":["copilot-swe-agent[bot]"]}'

# GitHub CLIの場合（既定ブランチの未解決アラートを重大度errorで絞って番号を一覧）
gh api "repos/OWNER/REPO/code-scanning/alerts?state=open&severity=error&ref=refs/heads/main" \
  --jq '.[].number'

空配列を渡すと既存の担当者がすべて外れる仕様なので、人間の担当者と併記したい場合は既存のassigneesを取得してから配列に足して送ります。リポジトリがアーカイブ済み、またはAdvanced Securityが有効でないリポジトリで返る応答は403です。既定ブランチ以外でのみ検出されたアラートは割り当てられないため、一覧を取る段階でrefを既定ブランチに絞っておくと、無駄な呼び出しを避けられます。

公式が示す修正時間の実測値と、autofixの自動化を止めるべき条件

XSSで約7倍・SQLインジェクションで約12倍となった修正時間の実測

GitHubは2024年5月から7月のパブリックベータ期間、GHASを有効にしたリポジトリのプルリクエストで検出された新規CodeQLアラートを対象に、修正完了までの時間を計測しています。

この数字は「PR時点で検出された新規アラート」の測定値で、従来型の実績です。デフォルトブランチに長く残った過去のアラートは修正の影響範囲が読みにくく、同じ倍率にはなりません。導入効果を見積もるときは、まずPR段階の新規アラートを対象に置くほうが期待値と実績が合います。エージェント型について、GitHubは2026年10月24日時点で同種の比較値を公開していません。

公式Application cardが列挙する非決定性や依存バージョン捏造の失敗モード

公式ドキュメントは、Copilot Autofixの限界を自ら列挙しています。実務で影響が大きいものを挙げると次のとおりです。

• 非決定的であり、同じアラートでも試行ごとに提案が変わる、あるいは提案が出ないことがある
• 複数ファイルにまたがる複雑なデータフローを追う必要があるアラートは苦手
• ファイルやリポジトリが非常に大きいとコンテキストが切り詰められる
• 構文エラーを含む修正、誤った位置への修正、意味を変えてしまう修正を生成しうる
• 新たな脆弱性を持ち込む、あるいは根本原因を部分的にしか直さないことがある
• 提案する依存関係のバージョンが実在しない値になることがある
• 学習データが英語中心のため、英語以外で書かれたコードやコメントでは成功率が落ちる

最後から2番目の「依存バージョンの捏造」は、提案をそのまま取り込むとビルドが通らない、あるいは意図しないバージョンに固定されるという形で表面化します。修正差分にバージョン指定が含まれる場合は、必ずレジストリ側で実在を確認してください。2つ目の「複数ファイルにまたがるデータフロー」は、関連ファイルを横断して読むエージェント型で改善が見込める領域ですが、公式はエージェント型も「ベストエフォート」と位置づけ、マージ前のレビューとテストを求めています。

認証・認可やsecurity-extended由来など自動マージに載せない3条件

ここは明確に立場を示します。エージェント型がGAになり検証済みのドラフトPRを開くようになっても、人間のレビューを外す設計にすべきではありません。とくに次の条件に当てはまる場合は、autofixの提案を自動マージの経路に乗せないでください。

1つ目は、認証・認可・暗号処理のコードです。CodeQLのアラートが閉じることと、認可ロジックが仕様どおりであることは別の話で、autofixの検証は前者しか見ていません。2つ目は、カスタムクエリやsecurity-extendedクエリスイート由来のアラート。前述のとおりエージェント型でも修正の有効性を検証できないため、検証済みという前提が成立しません。3つ目は、依存関係の追加・バージョン変更を含む修正で、捏造されたバージョンが混入する既知のリスクがあります。パートナー製ツール由来のアラートも、公式が修正の検証対象外としている以上ここに含めて扱うのが安全です。

逆に、PR時点で検出されたXSSやSQLインジェクションのような、CodeQLのデータフロー解析が得意でautofixの実測倍率も高い領域は、レビューを軽くしても実害が出にくい範囲です。全アラートに同じ運用を敷くのではなく、クエリスイートと脆弱性種別で運用を分けるのが、公式が示す限界と整合する組み方になります。

エージェント型autofixを有効にする組織と従来型で止める組織の判断条件

既定ブランチの債務件数とActions実行時間から決める採用と見送りの線

エージェント型を有効にすべきなのは、既定ブランチに未解決のCodeQLアラートが数百件単位で溜まり、セキュリティキャンペーンで回しても開発チームの手が追いつかない組織です。最大25件を1PRにまとめられ、検証済みの状態で上がってくるため、レビュー側の工数で債務を減らせます。GHECを契約し、Code Securityを導入済みであることが前提です。

見送ってよいのは次の3つの場合です。新規アラートの大半がPR時点で出て、その場で従来型の提案を受け入れて片づいている組織は、エージェント型の対象（既定ブランチのみ）と噛み合いません。カスタムクエリやsecurity-extended由来のアラートが中心の組織は、検証が効かないため費用に見合いません。Actionsの実行時間がすでに上限近くまで使われている組織は、CodeQLの再実行が追加で乗る分を先に見積もってください。

どちらに当てはまるか判断がつかない場合は、まず既定ブランチの未解決アラートを重大度と脆弱性種別で数えるところから始めます。件数の確認に使えるのは、前章で示したREST APIによるアラート一覧の取得です。アラートの棚卸しや、autofixで直せない設計起因の脆弱性の洗い出しを外部に依頼したい場合は、一創の脆弱性診断・セキュリティ診断で、診断結果を修正の優先順位まで落とし込むところからご相談いただけます。

よくある質問

Copilot Autofixとエージェント型autofixについて、検索の多い質問に答えます。

GitHub Copilot Autofixは無料で使えますか？

従来型はGitHub.com上のパブリックリポジトリであれば2024年9月から無料です。組織やEnterpriseが所有するプライベート・内部リポジトリではGitHub Code Security（1アクティブコミッターあたり月額30ドル）のライセンスが必要になります。公式ドキュメントが利用可能な範囲として挙げているのはこの2つで、個人アカウントのプライベートリポジトリは含まれていません。エージェント型は無料枠がなく、Code Securityの予算からAI CreditsとActionsの実行時間を消費します。

GitHub Copilotのサブスクリプションは必要ですか？

2026年10月15日のGA以降は、従来型・エージェント型のどちらもCopilotライセンスは不要です。2026年7月のプレビュー時点では、エージェント型にCopilotクラウドエージェントが有効なCopilotライセンスが必要でしたが、GAで外れました。ただしエージェント型を使うには、Copilotの課金方法が設定されていることと、Enterpriseの「Agentic autofix」ポリシーで許可されていることが条件になります。

エージェント型autofixのGAで何が変わりましたか？

主な変更は4点です。Copilotライセンスが不要になったこと、AI Creditsの出どころがCode Securityの予算になり請求上は「Advanced Security」として表示されるようになったこと、割り当てられるのが既定ブランチのアラートに限られたこと、1つのPRにまとめられるアラートが最大25件と明記されたことです。提供対象はGitHub Enterprise Cloud（データ所在地を指定する構成を含む）の顧客と告知されています。

「autofix ci」で出てくるautofix.ciとは別物ですか？

別のサービスです。autofix.ciは、GitHub Actions上でlinterやformatterを実行し、その結果をプルリクエストへ自動コミットするサードパーティ製のGitHub Appで、GitHubの提供物ではありません。既存のコード修正ツールをそのまま使う汎用の仕組みで、セキュリティ脆弱性の検出機能は持ちません。CodeQLのアラートに対する修正提案を探しているならCopilot Autofix、lint違反の自動整形ならautofix.ci、という住み分けになります。

Copilot AutofixとCopilotコードレビューはどう使い分けますか？

Copilot Autofixの対象はCodeQLおよびパートナーツールが検出したセキュリティアラートに限られ、指摘の根拠が静的解析結果である点が特徴です。Copilotコードレビューはプルリクエスト全体を対象に、可読性や実装上の問題を含めて広くコメントします。脆弱性の確実な潰し込みは前者、一般的なレビュー負荷の軽減は後者、という役割分担です。両方を有効にすると、同じPRに静的解析由来の修正提案とレビューコメントが並びます。

関連記事

• GitHub Code Scanningとは？CodeQLの設定手順・対応言語・料金とAI Scan【2026年10月】：autofixの前提になるCodeQLの設定手順
• GitHub Advanced Securityとは｜Secret Protection月19ドル・Code Security月30ドルの料金と課金の数え方【2026年】：Code Securityのライセンス費の数え方
• GitHub Copilotの料金（pricing）｜AI Credits移行後のプラン比較とBilling APIでの使用量集計【2026年10月】：AI Creditsの単価と使用量の集計
• GitHub Code Qualityとは？料金・対応言語・PHPの扱いと導入手順：品質指摘側で動くCopilot Autofix
• GitHub Copilotのコードレビュー｜依頼方法・自動化・日本語化と料金：autofixと役割が分かれるレビュー機能