Die Entwicklerplattform GitHub hat die Steuerung ihrer KI-gestützten Sicherheitsanalysen ausgebaut und eine neue REST-API in der Public Preview veröffentlicht.
Wie Berichte vom 11. September 2026 darlegen, ermöglicht diese Schnittstelle es Organisationen, die Bereitstellung des sogenannten AI Vulnerability Scanning über zahlreiche Repositories hinweg zentral zu verwalten und automatisierte Abläufe zu implementieren. Damit adressiert das Unternehmen die Herausforderung, Sicherheitsscans in großen Softwareprojekten effizient zu skalieren.
Zentralisierte Steuerung über neue API-Endpunkte
Die technische Grundlage für die Automatisierung bilden zwei neu eingeführte Endpunkte innerhalb der Code-Scanning-REST-API. Diese stehen seit dem 10. September 2026 in der Public Preview zur Verfügung. Konkret handelt es sich um die Pfade /orgs/{org}/code-scanning/ai-scan für Einstellungen auf Organisationsebene sowie /repos/{owner}/{repo}/code-scanning/ai-scan für die Konfiguration einzelner Repositories.
Durch diese Erweiterung können Administratoren Sicherheitsprüfungen programmgesteuert steuern. Dies reduziert den manuellen Aufwand, der bisher für die Einrichtung und Überwachung der KI-Scans in komplexen Organisationsstrukturen anfiel. Die API ist darauf ausgelegt, die Verwaltung der Scan-Funktionen nahtlos in bestehende DevOps-Workflows zu integrieren.
Welche KI-Systeme gelten als Hochrisiko – und was müssen Unternehmen jetzt konkret tun? Die EU-KI-Verordnung stellt neue Regeln auf, die viele noch nicht kennen – dieser kostenlose Report klärt auf. Jetzt kostenlosen Umsetzungsleitfaden zum EU AI Act sichern
Governance und Hierarchien in der Rechteverwaltung
Ein wesentliches Merkmal der neuen Schnittstelle ist die strikte Hierarchie der Berechtigungen. Die Sicherheitsvorgaben der Organisation haben dabei Vorrang vor individuellen Repository-Einstellungen. Falls der KI-Scan auf Organisationsebene deaktiviert wurde, kann diese Entscheidung nicht durch eine lokale Einstellung innerhalb eines spezifischen Repositories überschrieben werden.
Umgekehrt bietet das System Flexibilität, wenn die Funktion organisationsweit grundsätzlich freigeschaltet ist. In diesem Fall haben Verantwortliche für einzelne Repositories die Möglichkeit, sich gegen die Nutzung zu entscheiden. Dieses Opt-out-Verfahren erlaubt es Teams, spezifische Projekte von den KI-gestützten Scans auszunehmen, während die Organisation dennoch eine breite Abdeckung der Sicherheitsprüfung beibehält.
Technische Voraussetzungen und unterstützte Sprachen
Der Einsatz des AI Scans ist an das bestehende Ökosystem von GitHub geknüpft. Die Funktion setzt ein korrekt konfiguriertes CodeQL-Default-Setup voraus. Zudem ist die Nutzung des Dienstes mit dem Verbrauch von Copilot-AI-Credits verbunden und erfordert eine entsprechende Copilot-Lizenz.
Inhaltlich dient die KI-gestützte Analyse als Ergänzung zu den klassischen CodeQL-Prüfungen. Sie erweitert die Erkennung von Schwachstellen in verschiedenen Programmiersprachen und Dateiformaten. Dazu gehören unter anderem PHP, Shell/Bash, HCL und Dockerfile sowie JSP und Blazor.
Wer sich mit der Automatisierung von KI-Workflows befasst, muss auch die rechtlichen Rahmenbedingungen in 5 Schritten verstehen. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. Kostenloses E-Book zum EU AI Act herunterladen
Während der AI Scan als solcher bereits seit dem 14. Juli 2026 in einer Preview-Phase getestet wird, stellt die nun veröffentlichte API-Anbindung eine wesentliche Erweiterung für Unternehmenskunden dar.
Einschränkungen bei Enterprise-Server-Versionen
Trotz der fortschreitenden Integration gibt es derzeit Einschränkungen bei der Kompatibilität mit On-Premise-Lösungen. Der GitHub Enterprise Server in der Version 3.22, der am 8. September 2026 allgemein verfügbar wurde, unterstützt die neue REST-API für das AI Vulnerability Scanning bislang nicht.
Laut aktuellen Branchenberichten liegt für eine künftige Unterstützung dieser Server-Version noch kein konkretes Datum innerhalb der Produkt-Roadmap vor. Organisationen, die auf diese lokale Infrastruktur setzen, müssen somit vorerst auf die neuen Automatisierungsmöglichkeiten der API verzichten.
