GitHub adiciona métricas do AI Scan para pull requests ao security overview

Em 13 de outubro de 2026, o GitHub ampliou o security overview: administradores de organizações e de contas enterprise agora podem acompanhar como o AI Scan funciona em pull requests. O painel mostra quantos achados o AI Scan gerou e quantos deles os desenvolvedores fecharam. O anúncio no GitHub Changelog ocupa poucas linhas, e a lista de métricas é cortada no meio. Por isso, o texto abaixo traz apenas o que está confirmado e uma ressalva sobre o que ainda não dá para ver.

O que apareceu, exatamente

O AI Scan para pull requests analisa as alterações no código em busca de vulnerabilidades antes do merge. Ele faz parte do code scanning. Antes, o administrador podia ativar o recurso, mas era difícil avaliar o retorno: os achados se misturavam aos resultados de outros scanners, e a avaliação dependia de sinais indiretos.

Agora o security overview tem um recorte separado para o AI Scan. O anúncio permite afirmar o seguinte:

• as métricas estão disponíveis para administradores de organizações e de contas enterprise;
• elas mostram quantos achados o AI Scan gerou;
• elas mostram quantos achados foram resolvidos;
• o texto do anúncio menciona outros indicadores, mas a mensagem está cortada e não é possível reconstituir o conjunto completo a partir dela.

O anúncio não informa prazos de disponibilidade, restrições por plano nem se há detalhamento por repositório ou por equipe. O mais seguro é conferir tudo isso na documentação do GitHub.

Por que isso importa para quem paga pela ferramenta

Um scanner com IA, assim como a análise estática clássica, vira facilmente uma fonte de ruído. Se ele gera muitos achados e só uma pequena parte é fechada, os desenvolvedores passam a rolar os comentários do pull request sem ler. O par de indicadores "gerados" e "resolvidos" dá uma primeira resposta, ainda grosseira, para saber se o recurso traz benefício. Uma proporção alta de achados fechados indica que os alertas estão acertando o alvo. Uma proporção baixa aponta para falsos positivos, cobertura mal calibrada ou equipes que simplesmente ignoram a verificação.

Há também o lado da gestão. Segurança costuma conseguir orçamento com argumentos do tipo "encontramos e corrigimos tantos problemas antes de chegar à produção". Antes, esses números da parte de IA precisavam ser levantados à mão; agora ficam no mesmo painel em que já aparecem os alertas dos outros scanners. Para clientes enterprise com dezenas e centenas de repositórios, isso economiza tempo na geração de relatórios.

O que fazer na prática

O anúncio traz poucos dados, então o mais sensato é agir por etapas:

1. Abra o security overview e procure o novo recorte do AI Scan. Se ele não aparecer, verifique as permissões: o recurso é voltado a administradores de organizações e de contas enterprise.

2. Registre os valores iniciais. Sem uma linha de base, não haverá com o que comparar daqui a um mês.

3. Compare o número de achados gerados com o de fechados. Se a diferença for grande, analise por amostragem algumas dezenas de achados e descubra o que eram: falhas reais ou ruído.

4. Compare os repositórios entre si. Se uma equipe fecha quase tudo e outra quase nada, o problema provavelmente está no processo, e não no scanner.

5. Não tire conclusões sobre a qualidade do modelo apenas com essas métricas. Um achado fechado não equivale a uma vulnerabilidade encontrada, e os problemas que passaram despercebidos não entram nessa estatística.

Em escala, é uma atualização pequena: uma nova aba com métricas, e não um novo modelo ou agente. Mas é esse tipo de mudança que mostra as verificações com IA no GitHub saindo do modo "liguei e espero que funcione" para um modo em que a eficácia pode ser medida. Quando o GitHub divulgar a lista completa de indicadores, ficará claro até onde essa análise permite aprofundar.