Code Scanning

一言で

Code Scanning と CodeQL は別物 📖 Docs

Code Scanning は GitHub の機能、CodeQL は解析エンジンの 1 つ。PR では AI findings が補完し、他社ツールの結果も SARIF で取り込める。

CodeQL の仕組み 📖 Docs

処理は 2 段階。コードを抽出してデータベース化し、クエリをコンパイルして評価する。

Schema はデータ構造を記述し、database はデータを保存する。言語と build mode ↗ に応じて、ソースコードを直接抽出するか、ビルドを監視する。

CodeQL クエリの読み方

QL は宣言型のロジックプログラミング言語。「バグとはどういう形か」を書くと、evaluator が全インスタンスを見つけてくる。構造は SQL の FROM / WHERE / SELECT とほぼ同じ。

import java                                       // ① 標準ライブラリを読み込む

from IfStmt ifstmt, Block block                   // ② 調べたい要素を変数として宣言
where
  block = ifstmt.getThen() and                    // ③ 条件で絞り込む
  block.getNumStmt() = 0                          //    → then 節が空のブロック
select ifstmt, "This if-statement is redundant."  // ④ 何をどう報告するか

言語の本質はこの形だけ。where が「バグとはどういう形か」の定義そのもので、探索は evaluator がやる。

🔬 セキュリティクエリはこの上に DataFlow / TaintTracking を重ね、source / sink / sanitizer を定義して経路を探索する。公式クエリは github/codeql ↗ で OSS 公開されている。通常は公開パックで十分で、独自クエリは「自社フレームワーク固有の source / sink を教える」ときに書く。

📘 詳細: About CodeQL queries ↗ / About data flow analysis ↗

CodeQL が見つける脆弱性

🌐 対応言語 — C/C++、C#、Go、Java/Kotlin、JavaScript/TypeScript、Python、Ruby、Rust、Swift、GitHub Actions。CodeQL 対応言語が 1 つもない repo は スキャンが走らない = Actions 分も消費しない。

主な機能 ► DEMO

まず Default setup。足りなければ repository property でカスタマイズし、独自ビルドが必要なときだけ Advanced へ。

シフトレフト: PR で直す理由

脆弱性を最も安く直せるのは、それを持ち込んだ PR の中。マージされた時点でセキュリティ負債になり、負債はなかなか返済されない。

• 📉 マージ後は放置されがち: マージ済みコードのセキュリティ負債のうち、これまで対応されてきたのは 10% だけ（GitHub のデータ ↗）
• ⏱️ PR の中なら速い: PR で検出したアラートは、Copilot Autofix で修正までの中央値 28 分、手動では 1.5 時間（GitHub, 2024 ↗）

Copilot Autofix: 修正提案 📖 Docs

Copilot Autofix は 対応するアラートに修正パッチを提案する。レビューとテストをしてから適用するもので、修正の成功が保証されるわけではない。

• 🤖 入力: アラートの詳細、周辺コード、CodeQL のデータフロー経路を使って修正を提案。
• 💬 PR 上: 対応するアラートにインラインの修正提案が自動表示される。
• 🛠️ Agentic Autofix がオフのデフォルトブランチのバックログ: Copilot Autofix が有効で対応するアラートなら Generate fix → Create PR with fix。
• 🆓 料金: 従来の Autofix は Copilot ライセンス不要で AI クレジットも消費しない。Code Security に含まれ、Public repo は無料。
• 🔌 有効化: 管理者が無効にしない限り、CodeQL で既定で利用可能。

Agentic Autofix（GA） 📖 Docs ► DEMO

2026-10-15 に GA。 Agentic Autofix が有効なら、デフォルトブランチのバックログで Generate fix は Assign to Copilot に置き換わる。

Autofix と Agentic Autofix の使い分け 📖 Docs

2 つの独立した設定。クラウドエージェントのスイッチではない（2026-10-19 時点）。

⚠️ Preview 利用組織も GA 後に Agentic Autofix の再有効化が必要。

Security Campaigns — 組織横断で計画的に修正

アラートは 見つけた後の運用が本番。件数が多い組織ほど、生のアラート一覧を上から潰すのではなく 期限付きのキャンペーンとして回す。

📘 詳細: About security campaigns（GitHub Docs）↗

私のおすすめ導入チェックリスト 📖 Docs ► DEMO

検知の確認 → 新規コードの保護 → バックログの解消。この順番で進める。

URL テンプレート内の ORG、OWNER、REPO を置き換えて使う。

Advanced setup と SARIF 連携

Default で足りないとき（monorepo、特殊なビルド、他社ツール併用）は workflow を自分で書く。

# .github/workflows/codeql.yml
name: CodeQL
on:
  push: { branches: [main] }
  pull_request: { branches: [main] }
  schedule: [{ cron: '30 5 * * 1' }]
jobs:
  analyze:
    runs-on: ubuntu-latest
    permissions: { security-events: write, contents: read }
    strategy:
      matrix: { language: [javascript, python] }
    steps:
      - uses: actions/checkout@v4
      - uses: github/codeql-action/init@v3
        with: { languages: '${{ matrix.language }}', queries: security-extended }
      - uses: github/codeql-action/analyze@v3

      # サードパーティ SAST（Semgrep / Snyk / ESLint security）も同じ画面に同居する:
      - uses: github/codeql-action/upload-sarif@v3
        with: { sarif_file: results.sarif }

💡 runs-on を self-hosted runner にすれば Actions 分の課金は発生しない。大規模展開でコストが問題になる場合の第一手。

料金: 3 つのメーター 📖 Docs

▸ ＋ をクリックすると詳細が開きます

repo 種別ごとの利用条件 📖 Docs

📦 本体: CodeQL、カスタムクエリ、SARIF アップロード、対応する Autofix 提案、PR 注釈、Security overview。

💰 Actions※: Public の標準 hosted runner は無料。Private は付属の無料枠を消費し、超過分が課金される。Larger runner は常に課金。

⚠️ Public → private: Code Scanning を継続するには Code Security が必要。

Code Security Risk Assessment(無料の棚卸しスキャン)

1 クリックで Org 内の 最もアクティブな最大 20 リポジトリ を CodeQL スキャンし、どこに脆弱性が眠っているかを可視化する。GHAS / Code Security ライセンス不要、完全無料（2026 年 4 月 GA）。

• 🔎 対象 — 最近のコミットが活発な repo を最大 20 件（毎回選び直し可）
• 📊 出力 — 重大度・言語・ルール種別 別のレポート、Copilot Autofix で修正可能な件数 も表示
• 🕒 頻度 — 90 日に 1 回 再実行可。実行できるのは Org owner / security manager のみ
• 🚀 動かし方 — Org → Security → Assessments → Run code security risk assessment
• 🆓 コスト — ライセンス不要、Actions 分も消費しない — 購入前の判断材料に最適

📊 Secret Risk Assessment（Secret Scanning ↗）とセットで、組織のセキュリティ姿勢を 1 日で可視化できる。実数を見てから Code Security 導入 を判断するのが定石。

📘 詳細: Code security risk assessment ↗ / How exposed is your code? ↗