GitHub Copilotに「/security-review」登場｜コード編集中に脆弱性をAIが点検、対象プランと使い方を解説

2026年7月14日

AIニュース重要度

★★★★☆

4.0 / 5｜重要なアップデート

正式提供・新モデル・料金・セキュリティ・企業導入など実務への影響が明確な発表を含みます。利用者・企業の実務に影響する更新のため★4としました。

生成AIの学び方で悩んでいませんか？

「何から学ぶか」「続けられるか」「仕事で使えるか」が大切と分かっていても、独学では難しいですよね。

DMM 生成AI CAMP 学び放題は、DMM.comが提供する月額制の生成AIオンラインスクールです。

総額200万円相当の約1,000レッスンが学び放題。職種別・ツール別のコースを、メンターやAIチューターのサポートを受けながら継続的に学べます。

その第一歩として、入会前に中身を体験できる60分の無料セミナーが用意されています。参加すると、こんなことが分かります。

自分の職種で使えるか - マーケティング・営業・人事など職種別8コースの中身を体感できる！
ツールごとの学び方 - ChatGPTやDifyなど、ツール別のマスターコースも確認できる！
学習の進め方 - 約1,000レッスンをどう学べば短期間で身につくか、プロが提案してくれる！
続けられる仕組み - 24時間対応のAIチューターやメンター相談、コミュニティの中身が分かる！
生成AIの最新デモ - 生成AIの最新技術デモをその場で体験できる！

「無料セミナーで体験してから、学び放題に入会して継続的に学ぶ」という流れで始められるので、合うか分からないまま入会する心配がありません。

予約・参加は無料。入会するかはセミナーの後に決められます。

＼予約は30秒・日時を選ぶだけ／

60分の無料セミナーを予約する（無料）

⇒入会・コース詳細を公式サイトで見る

※無料なのはセミナーで、学び放題本体は月額制の有料サービスです。料金は公式サイトをご確認ください。
※セミナー・コース内容は変更される場合があります。

概要

GitHub Copilotアプリに、コードのセキュリティ点検を行う新機能「/security-review（セキュリティレビュー）」が追加されました。現在編集中のコード変更を、その場でAIがスキャンして脆弱性（ぜいじゃくせい：攻撃に使われる弱点）を洗い出せる機能です。現在は「パブリックプレビュー（試験公開）」として提供されています。

何が発表・更新されたのか

GitHub Copilotアプリ内で、スラッシュコマンド「/security-review」を実行できるようになりました。これは、すでにCopilot CLI（コマンドライン版）で使えたAIによる脆弱性スキャンを、日常のコーディング作業の中でも使えるようにしたものです。

このコマンドを実行すると、以下の内容が返ってきます。

重大度と確信度で採点された、信頼性の高いセキュリティ上の指摘
その場で適用・再確認できる、具体的な改善提案（Copilotから離れる必要はありません）
優先度をつけて整理された表示で、コードが確定する前に重要な問題から対処できる

スキャンは、よく見られて影響の大きい脆弱性を検出できるよう調整されています。公式によると、インジェクション（不正なコマンドを紛れ込ませる攻撃）、クロスサイトスクリプティング（XSS）、安全でないデータの取り扱い、パストラバーサル（本来アクセスできないファイルへの不正アクセス）、弱い暗号化などが対象です。

なぜ重要なのか

これまでセキュリティ点検は、コードを提出した後の工程で行われることが多くありました。/security-reviewは、コードを書いている最中に、開発環境から離れずにその場でチェックできる点が特徴です。

公式では、この機能はGitHubのコードスキャンやDependabot（依存ライブラリの脆弱性通知）、シークレットスキャン（パスワードやキーの流出検知）を置き換えるものではなく、それらを補完する「軽量でオンデマンド（必要なときに実行できる）な点検手段」だと説明されています。問題を早い段階で見つけられれば、後工程での手戻りを減らせます。

誰に関係があるのか

GitHub Copilotを使ってコードを書く開発者や、社内でソフトウェア開発を行うチームに関係があります。

公式情報によると、パブリックプレビュー期間中は Copilot Free、Pro、Business、Enterprise の各ユーザーが利用できるとされています。無料プラン（Free）を含む幅広い利用者が対象です。

なお、日本での提供状況について、公式ページには特段の記載はありません。プランごとの詳細条件については、公式情報上では確認できる範囲にとどまります。

仕事や業務でどう使えるのか

使い方はシンプルです。公式では次の手順が案内されています。

Copilotアプリでプロジェクトを開く
コードを変更する
/security-review を実行して、その変更をスキャンする

たとえば、新しい機能を実装した直後に自分でセキュリティ点検を回し、指摘された箇所を提案どおりに修正して、再度確認する、といった流れが想定できます。コードを提出（プルリクエスト）する前に自分でひととおりチェックしておくことで、レビュー担当者やセキュリティ担当者の負担を軽くできます。

中小企業の実務担当者にとっては、専任のセキュリティエンジニアがいなくても、開発の日常作業の中で基本的な脆弱性チェックを取り入れられる点がメリットになりそうです。

注意点

いくつか押さえておきたい点があります。

現在は パブリックプレビュー（試験公開） の段階です。今後、仕様や提供条件が変わる可能性があります。
この機能はあくまで補完的な点検手段であり、コードスキャンやDependabot、シークレットスキャンなど既存のセキュリティ対策を置き換えるものではありません。複数の仕組みを組み合わせて使うことが前提です。
AIによるスキャンは「信頼性の高い指摘」を返すとされていますが、すべての脆弱性を漏れなく検出できるわけではありません。人によるレビューや他のツールとの併用が引き続き重要です。
検出対象は、インジェクションやXSSなど「よくある影響の大きい脆弱性」に調整されています。これ以外のリスクは別途対策が必要です。
日本での提供状況やプランごとの細かな条件について、公式情報上では詳細までは確認できませんでした。