GitHub 的漏洞修補代理正式推出，開發者可以把調查、改碼與重跑掃描一起交給 Copilot。 10 月 15 日公告指出，Agentic Autofix 會探索相關檔案、提出修正，嘗試以 CodeQL 驗證，再開出供人審查的草稿拉取請求（PR）。CodeQL 是 GitHub 的程式碼分析工具，用來找出可能的安全問題。
對替客戶維護網站的台灣團隊，這能減少收到警示後反覆翻檔案、準備修補的工作。如果代理交出的修改範圍清楚、附有驗證紀錄，工程師就能把時間放在判讀修正是否合適。警示數量減少多少，則要和修補品質一起看。
傳統 Autofix 給建議，代理會接著調查與驗證
GitHub 現行說明保留兩種不同工作方式：
| 方式 | 開發者會拿到什麼 | 適合的工作 |
|---|---|---|
| Copilot Autofix | 一次針對單筆警示的修補建議，可據此建立 PR | 修改位置已清楚，想自行控制後續調整 |
| Agentic Autofix | 代理跨檔案探索、修改、嘗試驗證後建立草稿 PR | 需要追查相關程式，或處理一組相近警示 |
代理的好處在於把幾個連續步驟接起來。它不必停在警示標出的那一行，可以沿著相關程式找問題，檢查後再調整修正。這和針對 PR 審查意見使用的 Fix with Copilot有不同入口：這次的起點是既有程式碼掃描警示。
不過，驗證有明確範圍。文件寫明，代理以程式碼掃描查詢套件重跑 CodeQL，無法確認自訂 CodeQL 查詢、security-extended 套件或第三方工具警示的修補結果。使用這些檢查的團隊，還得保留原本的驗證方式。
處理警示文件也要求代理在無法驗證，或認為可能是誤報時，於 PR 中說明。我的判斷是，附上實際檢查過程，比只有一段看似合理的修補建議更有用；但仍要讀清楚哪些檢查沒有完成。
最多 25 筆，應按共同原因組合
這項功能處理的是預設分支上已累積的警示。只在某份 PR 或其他分支出現的警示，不能直接指派。開發者可從待辦清單或安全修補活動中，選擇最多 25 筆；一次指派會建立一個代理工作階段與一份 PR。
我不建議每次都把名額塞滿。比較有價值的組合，是幾筆警示指向同一個共用函式、輸入檢查或相同程式模式，讓代理一併追查；互不相關的登入、檔案處理與相依套件問題，放進同一份修改會增加審查負擔。
假設幾個網站入口共用一段輸入檢查，警示分散在不同呼叫位置。把這組問題一起處理，有機會看清共同原因，審查者也能對照相關入口是否仍正常。
要問的結果因此很具體：修補是否處理了原問題，原本合法的操作是否還能運作？後續可接著看 AI 產生的 PR 審查重點；新功能的價值應落在減少準備修補的工作，而非把合併責任也交出去。
代理執行要付用量，公開程式庫也一樣
啟用 Agentic Autofix 後，個別警示上的免費 Generate Fix 選項會改成 Assign to Copilot。前者不消耗 AI credits，後者會啟動代理任務，使用 Code Security AI Credits 與 GitHub Actions 分鐘。若只需要一個明確的小修建議，原本的方式仍值得保留。
計費文件特別說明，公開程式庫雖可免去相關授權費，這類代理任務仍會消耗 Code Security AI 用量。有適用內含額度的付費帳號會先扣額度，用完後按量計費；沒有內含額度則直接按量計費。不能因為程式碼公開，就把代理執行當成免費。
資格也要用現行文件判斷。管理說明列出公開程式庫，以及具 Code Security 或 Advanced Security 的組織程式庫，不要求使用者另有 Copilot 授權；企業受管使用者帳號旗下的個人程式庫則不支援。企業、組織與程式庫的啟用權限有上下層關係；曾用公開預覽的組織，也必須重新啟用。
台灣接案或小型產品團隊可以先依工作量選擇：少量、容易判讀的修正保留單次建議；需要追查多處程式的既有漏洞，再衡量代理任務能省下多少整理時間。同樣掛著 Copilot 名稱，程式碼審查的公司付費設定與這次修補代理也分屬不同用途，不能混成同一種帳單。
常見問題
用 Agentic Autofix 一定要買 Copilot 訂閱嗎？
現行官方文件表示，使用者不需要另外有 Copilot 授權，但程式庫必須符合資格並啟用功能。代理任務的 AI 用量與 Actions 分鐘仍須另外理解，沒有訂閱門檻不代表零費用。
第三方掃描工具的警示，也會自動驗證修好了嗎？
不能這樣保證。GitHub 列明第三方警示，以及自訂查詢和 security-extended 套件的確認限制；應讀 PR 說明，保留原掃描與相關測試。
不開啟代理，還能用原本的 Autofix 嗎？
可以。符合條件且未啟用代理的程式庫，仍可在支援的警示使用 Copilot Autofix 修補建議；管理員若停用了相關功能，則依上層政策處理。
參考來源
- GitHub 官方：Agentic autofix for code scanning alerts general availability（2026-10-15）
- GitHub Docs：About autofix for code scanning（持續更新文件，2026-10-19 查核）
- GitHub Docs：Resolving code scanning alerts（持續更新文件，2026-10-19 查核）
- GitHub Docs：GitHub Advanced Security license billing（持續更新文件，2026-10-19 查核）
- GitHub Docs：Managing access to agentic autofix for code scanning（持續更新文件，2026-10-19 查核）