GitHub ajoute les métriques AI Scan pour les pull requests au security overview

Le 13 octobre 2026, GitHub a étendu le security overview : les administrateurs d'organisations et de comptes enterprise peuvent désormais suivre le fonctionnement d'AI Scan dans les pull requests. Le tableau de bord indique combien de résultats AI Scan a générés et combien les développeurs en ont clos. L'annonce du GitHub Changelog tient en quelques lignes, et la liste des métriques s'y interrompt en plein milieu d'une phrase. Cet article s'en tient donc à ce qui est confirmé, avec une réserve honnête sur ce qu'on ne voit pas encore.

Ce qui change concrètement

AI Scan pour les pull requests recherche des vulnérabilités dans les modifications de code avant la fusion. La fonction fait partie du code scanning. Auparavant, un administrateur pouvait l'activer, mais mesurer son utilité restait difficile : ses résultats se mélangeaient à ceux des autres scanners, et l'évaluation reposait sur des indices indirects.

Le security overview propose désormais une vue dédiée à AI Scan. L'annonce permet d'établir les points suivants :

• les métriques sont accessibles aux administrateurs d'organisations et de comptes enterprise ;
• elles indiquent combien de résultats AI Scan a générés ;
• elles indiquent combien de résultats ont été corrigés ;
• le texte de l'annonce mentionne d'autres indicateurs, mais le message est tronqué et il est impossible d'en reconstituer l'ensemble.

L'annonce ne précise ni le calendrier de disponibilité, ni les limitations tarifaires, ni la possibilité d'une ventilation par dépôt ou par équipe. Mieux vaut vérifier tout cela dans la documentation de GitHub.

Pourquoi c'est important pour ceux qui paient l'outil

Un scanner IA, comme l'analyse statique classique, devient facilement une source de bruit. S'il produit beaucoup de résultats et qu'une petite part seulement est corrigée, les développeurs finissent par faire défiler les commentaires des pull requests sans les lire. Le couple d'indicateurs « généré » et « corrigé » apporte une première réponse, grossière, à la question de l'utilité de la fonction. Une forte proportion de résultats clos indique que les signaux tombent juste. Une proportion faible renvoie à des faux positifs, à un périmètre mal choisi ou à des équipes qui ignorent simplement l'analyse.

Il y a aussi un volet managérial. La sécurité obtient généralement son budget avec des arguments du type « nous avons trouvé et corrigé tant de problèmes avant la mise en production ». Pour la partie IA, il fallait jusqu'ici compiler ces chiffres à la main ; ils figurent désormais dans le même tableau de bord que les alertes des autres scanners. Pour les clients enterprise qui gèrent des dizaines ou des centaines de dépôts, c'est un gain de temps sur le reporting.

Que faire en pratique

L'annonce contient peu de données, il est donc raisonnable d'avancer par étapes :

1. Ouvrez le security overview et repérez la nouvelle vue consacrée à AI Scan. Si elle n'apparaît pas, vérifiez vos droits : la fonction s'adresse aux administrateurs d'organisations et d'enterprise.

2. Relevez les valeurs de départ. Sans référence, il n'y aura rien à comparer dans un mois.

3. Rapprochez le nombre de résultats générés de celui des résultats clos. Si l'écart est important, examinez par échantillonnage quelques dizaines de résultats pour déterminer s'il s'agissait de vraies failles ou de bruit.

4. Comparez les dépôts entre eux. Si, dans l'un, l'équipe corrige presque tout et que, dans un autre, elle ne corrige presque rien, la cause tient plus probablement au processus qu'au scanner.

5. Ne tirez pas de conclusion sur la qualité du modèle lui-même à partir de ces seules métriques. Un résultat clos n'équivaut pas à une vulnérabilité trouvée, et les problèmes passés inaperçus n'entrent pas dans ces statistiques.

Par son ampleur, la mise à jour est modeste : un nouvel onglet de métriques, et non un nouveau modèle ou un nouvel agent. Mais ce type d'évolution montre que les analyses par IA de GitHub passent du mode « on les active et on espère » à un mode où leur efficacité peut se mesurer. Lorsque GitHub dévoilera la liste complète des indicateurs, on saura jusqu'où cette analytique permettra d'aller.