La idea clave
Se elimina una dependencia de configuración, pero siguen existiendo requisitos de activación y licencia. Un análisis sin avisos no certifica que el código sea seguro.
GitHub ha retirado un requisito que limitaba dónde podía funcionar AI Scan para pull requests: desde el anuncio del 16 de septiembre, ya no necesita que el repositorio tenga activada la configuración predeterminada de CodeQL.
Según el changelog oficial, la ampliación permanece en vista previa pública en github.com para clientes de GitHub Advanced Security. Esta versión no incluye GitHub Enterprise Server.
Qué cambia y qué sigue igual
Code scanning y AI Scan deben seguir habilitados en los niveles correspondientes. La jerarquía de permisos se conserva. Si una organización ya tenía activado AI Scan, puede ejecutarse en más repositorios elegibles sin añadir este paso de CodeQL.
Para entender el efecto, revisa por separado la política de la organización y el estado del repositorio. Eliminar una dependencia no equivale a activar la función en todas las cuentas.
Qué analiza, cuánto acceso requiere y dónde aparecen los resultados
La documentación de AI Scan describe un complemento para lenguajes y marcos que CodeQL no cubre. En la vista previa exige licencias de Advanced Security y Copilot, y consume créditos de IA.
Sus hallazgos se muestran en la pull request y son orientativos: no bloquean la fusión. No constituyen un análisis completo del repositorio. Tampoco se ejecuta en pull requests procedentes de forks o creadas por Dependabot. Puede producir falsos positivos.
Esto delimita lo que puedes concluir de un resultado. Que una revisión no muestre avisos puede responder a distintas condiciones; comprueba primero si realmente se ejecutó y si el cambio era elegible.
Cómo convertir un aviso en una revisión útil
Escenario propuesto por Texploto
Una pull request modifica cómo una aplicación decide qué documentos puede abrir cada usuario. El analizador señala una posible falta de comprobación de permisos.
El siguiente paso sería leer la condición indicada y seguir el recorrido de la petición. ¿Dónde se identifica al usuario? ¿En qué punto se decide su acceso al documento? ¿Hay una comprobación anterior que el aviso no tuvo en cuenta?
Después prepara una prueba acotada con usuarios y documentos ficticios: uno autorizado y otro que no debería acceder. Lo importante es obtener un resultado verificable sobre el comportamiento. La descripción convincente de un hallazgo no sustituye esa comprobación.
Quién decide que el cambio está listo
Acuerda quién revisará los hallazgos y cómo documentará la decisión. Si se corrige, conserva la prueba que reproduce el problema y muestra la solución. Si se descarta, explica qué condición del código lo impide. Así la siguiente persona podrá entender el motivo.
La configuración de Advanced Security en organizaciones trata cómo mantener controles comunes. Esta novedad responde a otra cuestión: dónde puede ejecutarse un análisis específico y cómo interpretar lo que entrega.
Para un repositorio pequeño, ese reparto puede reducirse a una persona y una nota en la revisión. Lo esencial es que exista una decisión consciente; la ausencia de un bloqueo automático no debe convertirse en una aprobación implícita.
Fuentes consultadas el 17/09/2026. No hemos activado ni probado AI Scan; el escenario es ilustrativo.
