コード セキュリティ アラート向け Copilot Autofix (プレビュー)

Copilot自動修正では、Azure DevOps 向け GitHub Advanced Security で、コード スキャン アラートと依存関係スキャンのセキュリティ脆弱性に対するエージェント型の修復が提供されます。 サポートされているアラートを開き、[修正を生成] を選択します。 Copilotコーディング エージェントは、関連するリポジトリ コンテキストを調査し、提案された変更を確認して調整し、修正候補を含む pull request を開くことができます。

通常の pull request ワークフローを使用して、変更を確認、テスト、マージします。 手順は、両方のアラートの種類で同じです。 開始するには、関連するアラートリストを選択し、関連するスキャナーを使用してマージ後の修正を確認します。

GitHub Advanced Security for Azure DevOps は、Azure Repos と連携して動作します。 GitHub リポジトリで GitHub Advanced Security を使用する方法については、「GitHub Advanced Security」を参照してください。

Prerequisites

高度なセキュリティの権限の詳細については、「高度なセキュリティ権限の管理」を参照してください。

• コード スキャンまたは依存関係スキャンが設定され、リポジトリに対してアラートを生成している。
• 少なくとも 1 つの サポート対象のアラート。
• 高度なセキュリティ: アラートの表示 リポジトリ権限（修正を生成 を選択するユーザー）
• Azure Pipelines エージェント プールへのアクセス。 Copilot Autofix は、修正を生成して公開するために、Microsoft がホストするパイプライン ジョブをキューに追加します。 実行には、使用可能な並列ジョブが必要です。 すべての並列ジョブが使用されている場合、修正プログラムは容量が使用可能になるまでキューに残ります。

Copilot自動修正では、プロジェクトまたはコレクションのビルド サービス アカウントではなく、GitHub Copilot ({organization})という名前の専用 ID を使用してリポジトリ操作が実行されます。 サービスは、ID に次のアクセス許可を自動的に付与します。

これらのアクセス許可をビルド サービス アカウントに付与する必要はありません。 組織で明示的な拒否アクセス許可を使用している場合は、 GitHub Copilot ({organization}) ID がブロックしていないことを確認します。

agentic Autofix のしくみ

Agentic Autofix では、報告されたコードの場所のみに依存するのではなく、アラートの結果とリポジトリ コンテキストを使用します。 Copilotコーディング エージェントは、チェックイン済みのカスタム命令と関連するスキルを使用して、コーディングの標準、アーキテクチャ、修復パターンを理解できます。 次を含む pull request を開く前に、提案された変更を確認して調整できます。

• 基になる脆弱性に対処する 推奨されるコード変更 。
• アラート ID、重大度、変更の概要など、修正中のアラートの 説明 。

推奨される修正ではコード ベースのより広いコンテキストが考慮されるため、変更はアラートが発生した 1 行を超え、必要に応じて他のファイルへの変更を含めることができます。

サポートされているアラート

サポートされているいずれのアラートの種類でも、Copilot Autofix により、確認用の変更が提案されます。 すべての検出事項の修正が保証されるわけではありません。 詳細については、「 修正プログラムは使用できません」を参照してください。

リポジトリの手順と必要なスキルを提示する

修正を生成するときに考慮するコンテキストを agentic Autofix に指定します。 サポートされている .github または .agents の場所にあるリポジトリにカスタムの手順とスキルをチェックインします。 これらのファイルは、Copilotコーディング エージェントがチームのコーディング標準と確立された修復ワークフローに従うのに役立ちます。

カスタム命令にコーディング標準を追加する

.github/copilot-instructions.md などのリポジトリ全体のカスタム命令を使用して、変更がプロジェクトにどのように適合するかを説明してください。 名前付け規則、承認されたライブラリ、アーキテクチャの境界、および変更をビルドおよびテストする方法に関するガイダンスを含めます。

たとえば、チームで共有する入力検証ヘルパーが必要な場合は、指示の中でその要件について説明します。 エージェントがアラートから推論することを想定しないでください。

# Coding standards

- Use the existing input-validation helpers instead of adding new validation logic.
- Follow the naming conventions in the surrounding code.
- Keep dependency changes scoped to the vulnerability being fixed.
- Update the relevant tests when a fix changes behavior.
- Run the documented build and test commands before proposing a change.

Copilot がサポートするファイル名と場所を使用します。 custom-instructions.mdという名前のファイルは、その名前だけでは、リポジトリ全体に適用されるCopilot命令ファイルであることを示しません。 リポジトリ全体のファイル形式については、GitHub Copilotのリポジトリのカスタム手順の追加を参照してください。

反復可能な修復タスク用のスキルを追加する

リポジトリ スキルは、タスク固有の命令、スクリプト、およびサポート リソースを提供できます。 .github/skills/<skill-name>/や.agents/skills/<skill-name>/などのディレクトリにスキルを格納し、その手順をSKILL.mdに記述します。

たとえば、依存関係更新スキルでは、パッケージ更新手順と互換性チェックを記述できます。 コード修正スキルでは、承認されたセキュリティ ライブラリを使用する方法を記述できます。 Agentic Autofix は、修正の生成の一環として関連するスキルを参照できます。すべてのスキルがすべてのアラートに適用されるわけではありません。 スキルの形式については、「 エージェントスキルについて」を参照してください。

Billing

Copilot自動修正は、GitHub Advanced Security for Azure DevOps ライセンスに含まれています。 修正プログラムを生成すると、組織のAzure課金メーターから AI クレジットが消費されます。

修正プログラムの生成ごとにトークンが使用されます。これには、モデルに送信されるコード コンテキストの入力トークン、推奨される変更の出力トークン、既存のコンテキストを再利用するキャッシュされたトークンが含まれます。

課金を簡単にするために、これらのトークンは、GitHub AI クレジットと呼ばれる標準ユニットに変換されます。1 クレジットは $0.01 USD です。 料金は、Azure DevOps組織にリンクされているAzure サブスクリプションに課金され、Azure Cost Managementでは別のメーターとして表示されます。

各修正プログラムのコストは、周囲のコード コンテキストのサイズと変更の複雑さによって異なります。

プロジェクト別の自動修正コストの表示

Copilot Autofix では、組織タグとプロジェクト タグがサポートされているため、使用料金をフィルター処理し、Azure DevOps プロジェクト間でコストを比較できます。

1. Azure ポータルで、Azure DevOps組織にリンクされているサブスクリプションを開きます。 コスト管理>コスト分析に移動します。
2. 確認する日付範囲を選択します。
3. メーターフィルターを追加し、AzDO GAC の AI クレジットを選択します。 このフィルターは、Autofix の使用料金を他のサブスクリプション コストから分離します。
4. _organizationname_ のタグ フィルターを追加し、コストを表示したい Azure DevOps 組織を選択します。
5. グループ化 を _projectname_ タグに設定すると、プロジェクト別の自動修正コストの内訳が表示されます。

個々の日付を確認するには、粒度 を 日単位 に設定し、視覚化を テーブル に切り替えます。 メーターと組織のフィルターとプロジェクトのグループ化を維持します。 _projectname_ タグをフィルター処理して、テーブルを特定のプロジェクトに限定することもできます。

Copilot の自動修正を有効にする

Copilot自動修正は、組織、プロジェクト、またはリポジトリ のレベルで有効にすることができます。 より広範なスコープで自動修正を有効にすると、そのスコープ内のすべてのリポジトリに設定が適用されます。 設定を適用するリポジトリに基づいて自動修正を構成する場所を選択します。

Copilot Autofix を有効にするには:

1. Azure DevOps 組織 (https://dev.azure.com/{yourorganization}) にサインインします。
2. 構成する組織、プロジェクト、またはリポジトリのスコープの設定ページに移動します。
3. Advanced Security セクションで、Autofix for security alerts を探します。 スタンドアロン のCode Securityを使用する場合は、[ オプション] を選択して [ Code Security機能 ] パネルを開きます。
4. セキュリティ アラートの自動修正 を選択します。 同じ設定で、対応するコード スキャンと依存関係スキャンのアラート向けの Copilot Autofix が有効になります。
5. [コード セキュリティ機能] パネルを使用する場合は、[適用] を選択して変更を保存します。

バンドルされている高度なセキュリティとスタンドアロンのコード セキュリティ設定の両方のスクリーンショットについては、「Copilot自動修正の構成」を参照してください。

Autofix を有効にしても、スキャンを構成したり、修正内容が自動的に生成されたりすることはありません。 まず、コードスキャンまたは依存関係スキャンを構成します。 次に、対応しているアラートに修正を要求します。

アラートの修正プログラムを生成する

Copilot自動修正を有効にした後、サポートされているコード スキャン アラートまたは依存関係の脆弱性アラートに対して同じ手順を使用します。

1. Repos>Advanced Security を選択します。
2. コード スキャンまたは依存関係スキャンアラートの一覧を開き、アラートを選択して詳細ビューを開きます。
3. 検出結果、影響を受けるコードまたは依存関係、修復ガイダンスを確認します。
4. [ 修正プログラムの生成] を選択します。

次のコード スキャンの例は、共通のワークフローを示しています。 依存関係スキャンの例は、このセクションの後半で生成されたプルリクエストを示しています。

Copilot Autofix が修正作業を進めている間、アラート詳細ビューには修正が進行中であることが示されます。 Copilot Autofix は、修正の準備が整うとプル リクエストを作成します。

Copilot Autofix は修正を生成し、copilot-autofix/... という名前のブランチからプル リクエストを作成します。 pull request には Copilot Autofix タグが付けられています。このタグを使用すると、pull requests リストで自動修正 pull request を識別できます。

同じアラートとブランチに対してアクティブにできる修正プログラムは 1 つだけです。 要求が保留中であるか、パイプラインが実行されている間は、 修正の生成 は使用できません。 別の要求が同時に送信された場合、アラートには修正プログラムが既に生成されていることが示されます。 アクティブな要求が成功または失敗した後に、別の修正プログラムを生成できます。

CodeQL アラートの場合、プル要求はアラートの詳細ビューの [関連するプル要求 ] の下に自動的に表示され、生成と完了の進行状況として引き続き更新されるため、ページを更新する必要はありません。

次の依存関係スキャンの例は、関連するプル要求 の下に、脆弱なパッケージに対するアクティブな自動修正プル要求を示しています。

Copilot自動修正によってアラートのコード変更が生成されない場合、分岐またはプル要求は作成されません。また、アラートの詳細ビューでプル要求がリンクされることはありません。 この場合は、アラートを手動で修復します。 詳細については、「 修正プログラムは使用できません」を参照してください。

修正内容を確認してマージする

Copilot Autofix が作成するプル リクエストは、他の Azure Repos のプル リクエストと同様に動作します。 その説明は、修正プログラムが対処するアラートをまとめたものです。

Copilot自動修正ラベルは、自動修正プル要求を識別します。

1. アラートの Related pull requests セクション、または Repos>Pull requests からプル要求を開きます。
2. 影響を受けるすべてのファイルの [ ファイル ] タブで、提案された変更を確認します。
3. コード スタイル、名前付け規則、またはプロジェクトの要件を一致させる必要がある場合は、変更を編集します。
4. 通常のレビュー ワークフローを使用して、pull request を承認して完了します。

pull request をマージした後、マージされたターゲット ブランチで関連するスキャナーを実行します。 Copilot Autofix は、このマージ後のスキャンを実行しません。

プル要求のみをマージしても、アラートは閉じられません。 Advanced Security は、新しいスキャン結果を処理した後、アラートの状態を更新します。 これらの結果が脆弱性を報告しなくなったことを確認します。

Copilot の自動修正の問題を解決する

進行中の修正

ほとんどのCopilot自動修正は約 2 ~ 5 分で完了します。 実行時間は、使用可能なパイプライン容量と変更の複雑さによって異なる場合があります。 すべての並列ジョブが使用されている場合、パイプラインはキューに残り、容量が使用可能になるまで、アラート は修正の進行中 を示し続けます。

パイプラインがキューに入る前に保留状態のリクエストは、30分後に失敗します。 キューに入っている、または実行中のパイプラインのタイムアウト時間は 2 時間です。 バックエンドのタイムアウトに達する前に、アラートの更新が自動的に停止する場合があります。 アラートが進行中の場合:

1. アラートの詳細ページを更新します。
2. 実行を表示が利用可能な場合は、パイプラインの実行を開き、キューに入っているか、実行中かを確認します。
3. 要求が成功または失敗した状態になるまで待ちます。 既存の要求がアクティブな間は、別の要求を送信しないでください。
4. 要求が失敗した場合は、エラー メッセージを確認し、原因に対処した後に [修正の再試行 ] を選択します。

プル要求は作成されましたが、アラートにリンクされていません

プル要求は、 関連するプル要求の下に表示される前に正常に作成できます。 アラートの詳細ページを更新します。 プル リクエストがまだ関連付けられていない場合は、Repos>Pull requests を選択し、次を探してください。

• Copilot Autofix ラベル。
• copilot-autofix/で始まるソース ブランチ。
• アラートを参照するプル リクエストのタイトルまたは説明。

リンクがアラートに表示されない場合でも、通常の pull request ワークフローを通じて pull request を確認してマージします。

リポジトリまたはプル要求の操作が失敗する

Copilot Autofix では、アラートに関連付けられたブランチのシャロークローンを行います。 Git サブモジュールは初期化されません。 一意の名前 copilot-autofix/... ブランチを作成し、生成された変更をプッシュし、アラート ブランチを対象とするプル要求を開きます。

パイプライン ログを調べるには、アラートエラー状態からの 実行の表示 を使用します。 次の表に、一般的な原因とアクションを示します。

修正プログラムが生成されましたが、コミットまたはプッシュできませんでした

Copilot自動修正では、コミット作成者の電子メールとしてnoreply@dev.azure.comが使用されます。 コミット作成者の電子メール検証ポリシーでこのアドレスが許可されていない場合、Copilot Autofix はコード変更を生成できますが、pull request を作成するためにコミットまたはプッシュすることはできません。

アラートの詳細ビューには、ブロックされたコミット作成者の電子メールを識別するエラーが表示されます。

コミット作成者の電子メール検証ポリシーで許可されている電子メール パターンに noreply@dev.azure.com を追加します。

1. プロジェクト 設定>Repositories を選択します。
2. [すべてのリポジトリ] を選択してプロジェクト レベルのポリシーを更新するか、ポリシーを持つリポジトリを選択します。
3. [ポリシー] を選択します。
4. [ リポジトリ ポリシー] で、[ 作成者の電子メールの検証のコミット] を見つけます。
5. 許可されている電子メール パターンに noreply@dev.azure.com を追加します。
6. アラートに戻り、[修正を再試行] を選択します。

実行が失敗する

Copilot自動修正の実行を完了できない場合、アラートには顕著なエラー状態が表示されるため、実行が成功しなかったことをすぐに確認できます。 エラー状態から、実行を再試行して新しい修正プログラムを生成できます。

一時的な理由や、実行で使用可能なコード変更が生成されない場合は、実行が失敗する可能性があります。 実行を再試行して、修正プログラムをもう一度生成します。

修正プログラムをマージした後もアラートは開いたままです

自動修正プル要求をマージしても、アラート自体は閉じられません。 Advanced Security には、検出結果を報告したスキャナーからの新しい結果が必要です。 アラートが開いたままの場合:

1. プル要求が、アラートが検出されたのと同じブランチにマージされたことを確認します。
2. 必要に応じて、コード スキャンまたは依存関係スキャンがマージ後に実行され、マージされたコミットが分析されたことを確認します。
3. Advanced Security が正しいリポジトリとブランチの更新された結果を処理したことを確認してください。
4. 新しい結果を確認して、脆弱性が検出されなくなったことを確認します。
5. 脆弱性が引き続き存在する場合は、修正を更新し、関連するスキャナーをもう一度実行します。

修正プログラムは使用できません

Copilot自動修正では、すべてのアラートに対して修正プログラムを生成することはできません。 次の場合、修正プログラムを使用できない場合があります。

• アラートの種類は現在、Copilot Autofix ではサポートされていません。
• Copilotは、アラートが誤検知である可能性があることを判断します。
• Copilot自動修正は実行されますが、コードの変更は生成されません。 この場合、ブランチまたはプル要求は作成されません。

Copilot自動修正によって、アラートが誤検知である可能性があり、変更が生成されないと判断された場合、アラートの詳細ビューに結果が表示されます。 実行を確認するか、修正を再試行できます。

修正を使用できない場合は、アラートの対処ガイダンスを使用して手動で修正します。 結果を確認し、適切な却下理由を判断した後にのみ、アラートを却下します。 詳細については、「コード スキャンアラートの詳細」および「依存関係スキャンアラートの詳細」を参照してください。

関連資料

• コード スキャンを設定する
• コード スキャンのトラブルシューティング
• 依存関係スキャンを設定する
• 依存関係のスキャンのトラブルシューティング
• GitHub Advanced Security の機能を構成する