GitHub Agentic autofix是什么？怎么开、和Generate Fix差在哪、要不要Copilot

GitHub Agentic autofix是什么？它是GitHub在2026-10-15宣布对code scanning告警正式可用（GA）的智能修复能力。用法很具体：把仓库默认分支上的一条（或一批）安全告警赋给Copilot，它会像开发者一样跨文件摸清上下文、提出修复、用CodeQL再跑一遍确认告警已关闭，然后开出草稿Pull Request给你审。PR里会写修复摘要、为何能关掉告警、以及验证步骤。开启后，单条告警页上原来的免费「Generate Fix」会被「Assign to Copilot」按钮取代。可用对象：GitHub Code Security与GitHub Advanced Security客户，含GitHub Enterprise Cloud及带数据驻留的Enterprise Cloud。

和Generate Fix、AI Scan差在哪

能力	Generate Fix（旧）	Agentic autofix（本篇）	AI Scan（PR侧）
触发	单条告警上点生成修复	赋告警给Copilot；可批最多25条合一个PR	PR改动自动扫描，不进积压告警
工作方式	偏单点建议	跨文件探索→修复→重跑CodeQL→草稿PR	advisory发现，不挡合并
验证	以当时产品行为为准	官方强调用CodeQL确认告警关闭后再开PR	不做CodeQL关单验证
许可/计费	免费选项（开启Agentic后被替换）	需Code Security/GHAS + 企业策略 + Copilot计费；吃AI Credits与Actions分钟	另见AI Scan文档；不要求Copilot许可
分支范围	视产品当时支持	仅默认分支告警可赋	面向PR改动

若你刚看过GitHub AI Scan怎么开：AI Scan补的是「PR里CodeQL还扫不到的语言」；Agentic autofix补的是「默认分支上已有告警，怎么自动修并验证」。两者都在安全产品线，但不是同一个开关。日常写代码用GitHub Copilot或Cursor，也不等于已经打开Agentic autofix——还要企业策略与仓库Code Security设置。

怎么开：按权限走三步

1. 企业管理员开策略：在Advanced Security策略里启用新的「Agentic autofix」策略。没这一步，下面仓库开关无效。
2. 组织或仓库管理员打开功能：在组织或仓库的Code Security设置里打开Agentic autofix。同时必须已配置Copilot计费方式（changelog原文：Access also requires a Copilot billing method to be defined）。
3. 赋告警：打开默认分支上的code scanning告警，点Assign to Copilot；或在仓库/安全活动的告警列表里勾选，最多25条让Copilot合进同一个PR；也可经「Update a Code Scanning Alert」REST API，把 assignees 设为 ["copilot-swe-agent[bot]"]。
4. 审草稿PR：PR就绪后，可在PR评论或仓库Agents页与会话互动，让Copilot继续改。合并与否仍由人决定——自动修复不是自动上线。

计费：吃两样东西

changelog写明：Agentic autofix消耗Code Security预算里的AI Credits，以及GitHub Actions分钟。企业账单与许可的「AI usage」里，会以「Advanced Security」产品展示；也可为Code Security AI credits设SKU级预算。开启前先看企业预算与Actions余量，避免安全活动一开，账单先报警。

什么场景值得开，什么场景先别开

• 值得开：默认分支上积压了大量CodeQL可验证的同类告警；安全团队人手不够、但要求「修复必须再跑过CodeQL」；已有GHAS/Code Security与Copilot账单、希望把琐碎修复交给代理。
• 先别开或慎开：还没企业策略权限；账单预算不清；告警主要在PR分支或非默认分支（当前不能赋给Copilot）；合规要求「任何自动改动必须先过变更委员会」——此时仍可开，但把草稿PR当成建议，合并流程按原制度走。

落地时容易踩的坑

• 在非默认分支告警上找按钮：官方明确仅默认分支；PR上扫到的告警不能赋给Copilot。
• 以为不需要Copilot：与AI Scan不同，Agentic autofix要求已定义Copilot计费方式，并走「赋给Copilot」交互。
• 一次勾太多：单PR最多25条；再多就拆批次，避免一个巨型PR难以审。
• 把草稿PR当已验证生产补丁：CodeQL确认的是「该告警关闭」，不替代单元测试、集成测试与人工安全评审。

工具入口见AI代码审查、开发者工具、AI编程。

常见问题

一定要买Copilot吗？

changelog要求已定义Copilot计费方式，并使用「赋给Copilot」流程。具体席位类型与账单项以GitHub当前定价页为准；没有计费方式就无法按文档启用。

和免费Generate Fix还能并存吗？

开启Agentic autofix后，单条告警上的免费Generate Fix会被Assign to Copilot取代。未开启策略前，仍以仓库当前UI为准。

一次最多修多少条？

在告警列表里，最多选择25条，让Copilot放进同一个PR。REST API赋单条时按接口文档操作。

会自动合并吗？

不会。产品开的是草稿PR，供你审阅；是否合并、是否再改，由仓库权限与团队流程决定。

个人免费公开仓能用吗？

changelog写明面向Code Security与GHAS的Enterprise Cloud客户。个人免费公开仓是否另有入口，以GitHub文档与设置页为准；不要假设「有Copilot就能用Agentic autofix」。

相关：GitHub、GitHub Copilot、Cursor；另见GitHub AI Scan是什么。

来源与核查日期

• GitHub Changelog：Agentic autofix for code scanning alerts general availability（2026-10-15）

核查日期：2026-10-16（新加坡时间）。策略开关、计费SKU与API字段以GitHub文档及企业设置为准；本站未做实测。