Bản phát hành chính thức mở rộng phạm vi sử dụng và làm rõ cách thức hoạt động: AI Scan hiện xuất hiện trong phần trao đổi về PR và các phần khác biệt của tệp, có chỉ báo AI; tự động chạy khi được bật; đồng thời bổ trợ cho CodeQL bằng cách hỗ trợ những ngôn ngữ và định dạng mẫu/cấu hình mà CodeQL chưa xử lý đầy đủ. Công cụ được cung cấp rộng rãi cho các kho mã công khai, và có thể dùng với kho mã riêng tư hoặc nội bộ nếu tổ chức có GitHub Code Security hoặc Advanced Security. GitHub cũng đã công bố chi tiết tính phí: AI Scan sử dụng AI Credit của Code Security và chi phí được hiển thị trong trang thanh toán doanh nghiệp. Đáng chú ý, AI Scan không quét PR từ fork hoặc PR của Dependabot; các phát hiện vẫn chỉ mang tính tham khảo, không dùng để chặn quy trình.

CodeQL sử dụng các thư viện truy vấn được tuyển chọn để phát hiện mẫu dễ bị tấn công với độ chính xác cao và cơ sở giải thích mang tính xác định — rất phù hợp cho việc tuân thủ, các cổng kiểm soát CI có thể đo lường và quy trình làm việc thuộc diện quản lý. Ngược lại, AI Scan suy luận theo xác suất dựa trên ý định và ngữ cảnh của phần mã được thay đổi, đồng thời có thể chỉ ra vấn đề ở những nơi chưa có thư viện truy vấn hoặc thư viện còn thiếu hoàn thiện. Điều này có thể giúp tăng khả năng phát hiện trong một số tình huống thực tế như lỗi cấu hình, thiết lập mặc định không an toàn hay ngữ cảnh xuyên tệp, nhưng cũng dẫn đến những đặc điểm sai lệch khác: kết quả do mô hình tạo ra có thể quá tự tin, thiếu căn cứ rõ ràng từ quy tắc hoặc đề xuất bản sửa tự động đầy rủi ro. Cách tiếp cận phù hợp là dùng bổ trợ cho nhau: tiếp tục dùng CodeQL cho các kiểm tra có tính xác quyết, đồng thời dùng AI Scan để phát hiện điểm mù tiềm ẩn và cung cấp phản hồi nhanh từ sớm trong quá trình đánh giá.

AI Scan phát huy thế mạnh ở những nơi ngữ cảnh và phạm vi hỗ trợ ngôn ngữ đóng vai trò quan trọng: cấu hình dưới dạng mã (Terraform HCL), thay đổi trong tập lệnh và Shell, Dockerfile và tệp kê khai triển khai, mẫu ngôn ngữ cũ cũng như PR kết nối nhiều thành phần. Trong các kho mã thay đổi nhanh hoặc hệ thống đa ngôn ngữ chỉ được CodeQL hỗ trợ một phần, AI Scan có thể rút ngắn thời gian phát hiện những vấn đề phụ thuộc vào ý định của nhà phát triển hoặc ngữ cảnh vận hành — chẳng hạn thiếu bước kiểm tra hợp lệ, thiết lập mặc định nguy hiểm hoặc chỉ thị container rủi ro. Với các nhóm xây dựng hạ tầng dưới dạng mã hoặc duy trì hệ thống không đồng nhất, AI Scan có thể trở thành một hệ thống cảnh báo sớm dễ triển khai, giúp chuyển các thay đổi đáng ngờ đến người đánh giá sớm hơn.

Hãy xem phát hiện của AI là giả thuyết mang tính tham khảo. Xây dựng quy trình phân loại: (1) tự động phân loại các kết quả khớp mẫu có độ chính xác cao, rủi ro thấp để đăng nhận xét hoặc đề xuất chỉnh sửa tự động; (2) chuyển phát hiện rủi ro trung bình cho người đánh giá bảo mật kèm danh sách kiểm tra ngắn (tái hiện cục bộ, chạy kiểm thử có mục tiêu, kiểm tra luồng gọi); (3) yêu cầu người có kinh nghiệm hoặc cấp cao trực tiếp phê duyệt các vấn đề nghiêm trọng. Tích hợp kết quả AI Scan vào mẫu PR và chú thích CI, ghi lại kết quả xử lý để theo dõi cảnh báo sai, đồng thời yêu cầu con người phê duyệt trước khi áp dụng bản sửa tự động. Với các hệ thống viết mã có agent, hãy thêm bước “Đánh giá bảo mật bằng AI” riêng, chạy AI Scan và bắt buộc xác minh trước khi hợp nhất.

Việc AI Scan chỉ đưa ra kết quả mang tính tham khảo giúp giảm bớt một số rủi ro, nhưng các tổ chức vẫn cần chuẩn bị cho những dạng sai sót riêng của mô hình: đề xuất biện pháp khắc phục tưởng tượng, bỏ sót lỗ hổng nằm sâu trong luồng xử lý và cho kết quả thiếu nhất quán giữa các PR tương tự. Chi phí và quyền riêng tư cũng rất quan trọng — cần theo dõi mức sử dụng AI Credit và áp dụng ngân sách; các kho mã nhạy cảm có thể cần biện pháp kiểm soát chặt hơn vì PR từ fork bị loại trừ. Về quản trị, hãy lưu thông tin nguồn gốc cho từng phát hiện (phiên bản mô hình, độ tin cậy), duy trì tập dữ liệu cảnh báo sai để hiệu chỉnh và quy định rõ tiêu chí chấp nhận bản sửa tự động. Cuối cùng, không nên giao toàn bộ quyền quyết định cho AI: con người vẫn là chốt kiểm soát an toàn cuối cùng, nhất là với những luồng mã có tác động lớn.