デフォルトブランチの code scanning アラートを Copilot に割り当てると、関連ファイルを探索して修正案を作り、CodeQL を再実行してアラート閉鎖を確認したうえで下書き pull request を開く。10月の一般提供対象は、GitHub Enterprise Cloud（データレジデンシー付きを含む）の GitHub Code Security と GitHub Advanced Security 契約。
有効時は、個別アラートの無料 Generate Fix（Copilot Autofix）が Assign to Copilot に置き換わる。無効のリポジトリでは従来の Copilot Autofix の提案が使える。
- デフォルトブランチの個別アラートを Copilot に割り当て
- リポジトリまたはセキュリティキャンペーンの一覧で、最大 25 件を 1 つの pull request にまとめて割り当て
- REST API の Update a Code Scanning Alert で
assigneesを["copilot-swe-agent[bot]"]
pull request には修正の要約、アラート閉鎖の理由、検証手順が入る。追加変更は pull request のコメントか、リポジトリの Agents タブのセッションから指示する。pull request 上や他ブランチのみのアラートは割り当て対象外。
パブリックプレビューで使っていた組織は、もう一度有効化する。エンタープライズ管理者が Advanced Security ポリシーの Agentic autofix を許可したあと、組織またはリポジトリの Code Security 設定でオンにする。組織でオンにすると対象リポジトリへ既定で入り、リポジトリ管理者はオプトアウトできる。Enterprise Managed Users のユーザー所有リポジトリでは使えない。個人アカウントの対象パブリックリポジトリは、リポジトリ管理者が直接切り替える。
割り当てにはリポジトリの write 権限が必要。Copilot ライセンスは不要で、適用中の custom instructions は修正生成に乗る。有効化には Copilot の課金方法の定義が必要。
検証はベストエフォート。カスタム CodeQL クエリ、security-extended スイート、第三者ツール由来のアラートは閉鎖を確認できない。マージ前のレビューとテストは利用者側。
課金は Code Security AI Credits と GitHub Actions 分。パブリックリポジトリでもクレジットを消費する。Copilot 契約に含まれる AI credits があれば先にそれを使い、企業請求の AI usage では Advanced Security 製品として出る。SKU 単位の予算を置け、ハード予算でクレジットが尽きるとセッションは始まらない。