サマリー

• INTRO: コードスキャンのセキュリティアラート修正がより効率的になりました。プルリクエストの「Files changed」タブから、複数のアラート修正提案をまとめて一括適用できるようになりました。これまで1件ずつコミットしていた作業が、1回の操作で完了します。
• ■ 変更内容：GitHubのコードスキャンアラートがプルリクエスト上で一括操作により対処しやすくなりました。
• ■ 対象範囲：Files changedタブでコードスキャンアラートの修正をバッチに追加して適用できるようになり、複数のアラートをより迅速に処理できます。変更を単一のコミットにまとめることで、アラートごとに個別のスキャンを実行する代わりに1回のスキャンで済み、修正とレビューの時間を短縮してプルリクエストのスムーズな進行を支援します。
• ■ 提供状況：このアップデートはgithub.comで一般提供（GA）されています。

コードスキャン：プルリクエストでセキュリティアラートの修正提案を一括適用

詳細

• ■ コア変更：PRの「Files changed」タブにバッチ選択UIを追加し、複数のコードスキャンアラート修正を1コミットとしてまとめて適用可能に
• ■ アーキテクチャ：コードレビューの主要画面に統合されているため、既存のレビューワークフローを変えずにセキュリティ修正を自然に取り込める設計
• ■ セキュリティ：修正適用の摩擦を低減することで、アラート疲れや修正先送りといったAppSecの既知課題に直接対処し、脆弱性の平均修正時間を短縮
• ■ CI/CD効率：N件のアラートに対しスキャンがN回→1回に削減され、GitHub Actions利用量やキュー待ち時間のコスト削減に直結

コードスキャン：プルリクエストでセキュリティアラートの修正提案を一括適用

コードスキャン：プルリクエストでセキュリティアラートの修正提案を一括適用

flowchart LR
    A["「Files changed」タブで複数のアラート修正を選択"]
    B["N件の修正が1コミットにまとまり"]
    C["個別コミット→個別スキャンの非効率なサイクルを根本的に解消"]
    A --> B --> C
    style A fill:#1A3A2A,stroke:#BEFFD0,color:#BEFFD0
    style B fill:#0D6836,stroke:#BEFFD0,color:#FFFFFF
    style C fill:#1A3A2A,stroke:#2F94FF,color:#2F94FF
  

コードスキャン：プルリクエストでセキュリティアラートの修正提案を一括適用

関連リンク

• 📝 GitHub Blog Changelog — https://github.blog/changelog/2026-04-07-code-scanning-batch-apply-security-alert-suggestions-on-pull-requests
• 📖 Code Security ドキュメント — https://docs.github.com/code-security

コードスキャン：プルリクエストでセキュリティアラートの修正提案を一括適用

サマリー

• INTRO: Copilot CLIがBYOK（Bring Your Own Key）とローカルモデルに対応しました。GitHub提供のモデルルーティングに依存せず、Azure OpenAI・Anthropic・Ollamaなど任意のOpenAI互換エンドポイントを利用できます。完全オフラインモードも搭載されました。
• ■ 変更内容：GitHub Copilot CLIで、独自のモデルプロバイダーへの接続や、GitHubホスト型モデルルーティングの代わりに完全なローカルモデルの実行が可能になりました。これにより、既に契約済みのモデルやプロバイダーの利用、エアギャップ環境での運用、LLMコストの直接管理が可能になります。すべて同じエージェント型ターミナル体験を維持したままです。
• ■ 対象範囲：CLI起動前にいくつかの環境変数を設定することで、Copilot CLIをAzure OpenAI、Anthropic、または任意のOpenAI互換エンドポイントで使用できるよう構成できます。OpenAIやAzure OpenAIなどのリモートサービスに加え、Ollama、vLLM、Foundry Localなどのローカル実行モデルでも動作します。セットアッ
• ■ 提供状況：`COPILOT_OFFLINE=true` を設定すると、Copilot CLIがGitHubのサーバーに接続することを防止できます。オフラインモードでは、すべてのテレメトリが無効化され、CLIは構成済みのプロバイダーとのみ通信します。ローカルモデルと組み合わせることで、完全なエアギャップ開発ワークフローが実現できます。詳細については「Running in

Copilot CLIがBYOKおよびローカルモデルに対応

詳細

• ■ コア変更：推論バックエンドがGitHubホスト限定から任意のOpenAI互換エンドポイントに拡張され、モデル選択の自由度が大幅に向上
• ■ アーキテクチャ：CLIのエージェントオーケストレーション層と推論バックエンドの間にプロバイダ抽象化レイヤーを配置し、バックエンド切り替えを実現
• ■ オフラインモード：COPILOT_OFFLINE=true でテレメトリ・認証・モデルルーティングすべてのGitHub通信を遮断し、完全なエアギャップ運用が可能
• ■ 認証モデル：GitHub認証が必須→オプションに変更。カスタムプロバイダ構成時はプロバイダ認証情報のみで動作する新しい認証アーキテクチャ

Copilot CLIがBYOKおよびローカルモデルに対応

Copilot CLIがBYOKおよびローカルモデルに対応

flowchart LR
    A["任意のOpenAI互換エンドポイント（Azure OpenA"]
    B["COPILOT_OFFLINE=true で完全オフラインモ"]
    C["カスタムプロバイダ利用時はGitHub認証が不要に"]
    A --> B --> C
    style A fill:#1A3A2A,stroke:#BEFFD0,color:#BEFFD0
    style B fill:#0D6836,stroke:#BEFFD0,color:#FFFFFF
    style C fill:#1A3A2A,stroke:#2F94FF,color:#2F94FF
  

Copilot CLIがBYOKおよびローカルモデルに対応

関連リンク

• 📝 GitHub Blog Changelog — https://github.blog/changelog/2026-04-07-copilot-cli-now-supports-byok-and-local-models
• 📖 GitHub Copilot ドキュメント — https://docs.github.com/copilot
• 📖 GitHub CLI ドキュメント — https://docs.github.com/github-cli
• 📖 GitHub Models ドキュメント — https://docs.github.com/github-models

Copilot CLIがBYOKおよびローカルモデルに対応

サマリー

• INTRO: Dependabotアラートの修正をAIコーディングエージェントに直接委任できるようになりました。Copilot・Claude・Codexなどのエージェントが脆弱性を分析し、コード修正を含むドラフトPRを自動作成します。単なるバージョンバンプではない本質的な修正が可能です。
• ■ 変更内容：依存関係の脆弱性の中には、バージョンアップだけでは対応できず、プロジェクト全体にわたるコード変更が必要なものがあります。DependabotアラートをCopilot、Claude、CodexなどのAIコーディングエージェントに割り当て、脆弱性を分析させ、修正案を含むドラフトプルリクエストを作成させることが可能になりました。
• ■ 対象範囲：Dependabotアラートの詳細ページからAssign to Agentを選択し、Copilot、Claude、Codexなど希望のコーディングエージェントを選択します。割り当てられたエージェントは以下を実行します：
• ■ 提供状況：アドバイザリの詳細やリポジトリの依存関係の使用状況を含め、アラートを分析します。

DependabotアラートをAIエージェントに割り当てて修正が可能に

詳細

• ■ コア変更：Dependabotアラート詳細ページに「Assign to Agent」アクションを追加し、Copilot等のAIコーディングエージェントへの修正委任を実現
• ■ アーキテクチャ：Dependabotの既存アラート基盤にエージェントオーケストレーション層を追加。脆弱性情報・依存グラフ・リポジトリコンテキストをエージェントに提供
• ■ セキュリティ：AIエージェントにコード変更権限を付与するため、新たな攻撃面が発生。エージェントの誤修正や悪意あるサプライチェーン攻撃への考慮が必要
• ■ 導入要件：GitHub Code Security（旧Advanced Security）とコーディングエージェント対応のCopilotプランの両方が必要

DependabotアラートをAIエージェントに割り当てて修正が可能に

DependabotアラートをAIエージェントに割り当てて修正が可能に

flowchart LR
    A["アラート詳細ページの「Assign to Agent」ボタン"]
    B["エージェントがアドバイザリと依存関係を分析し"]
    C["テスト失敗時はエージェントが自動で修正を試行する反復サイクル"]
    A --> B --> C
    style A fill:#1A3A2A,stroke:#BEFFD0,color:#BEFFD0
    style B fill:#0D6836,stroke:#BEFFD0,color:#FFFFFF
    style C fill:#1A3A2A,stroke:#2F94FF,color:#2F94FF
  

DependabotアラートをAIエージェントに割り当てて修正が可能に

関連リンク

• 📝 GitHub Blog Changelog — https://github.blog/changelog/2026-04-07-dependabot-alerts-are-now-assignable-to-ai-agents-for-remediation
• 📖 GitHub Copilot ドキュメント — https://docs.github.com/copilot
• 📖 Code Security ドキュメント — https://docs.github.com/code-security
• 📖 Dependabot ドキュメント — https://docs.github.com/code-security/dependabot

DependabotアラートをAIエージェントに割り当てて修正が可能に

サマリー

• INTRO: DependabotがNix Flakesエコシステムに対応しました。dependabot.ymlにnixを追加するだけで、flake.lockの依存関係を監視し、新しいバージョンが利用可能になると自動でPRを作成します。
• ■ 変更内容：DependabotがNix flakesに対応しました。`dependabot.yml`ファイルにパッケージエコシステムとしてnixを追加してください。Dependabotが`flake.lock`の入力を監視し、上流で新しいコミットが利用可能になるとプルリクエストを作成します。これはバージョンアップデートに適用され、セキュリティアップデートには適用されま
• ■ 対象範囲：Dependabotは古くなったflake入力ごとに個別のプルリクエストを作成します。GitHub、GitLab、Sourcehut、およびプレーンなgit入力がすべてサポートされています。
• ■ 提供状況：`.github/dependabot.yml`ファイルに`nix`エントリを追加すると、次のスケジュール実行時にDependabotがflake入力に対するプルリクエストの作成を開始します。

DependabotバージョンアップデートがNixエコシステムに対応

詳細

• ■ コア変更：dependabot.ymlのpackage-ecosystemにnixが正式に追加され、npm・pip等と並ぶファーストクラスのサポート対象に
• ■ アーキテクチャ：flake.nixが入力を宣言し、flake.lockが正確なリビジョンを記録する2ファイルモデルを活用。lockファイルのハッシュ比較で更新を検知
• ■ セキュリティ制約：セキュリティアップデートは明示的に対象外。NixにはGitHub Advisoryに相当する脆弱性DBが存在しないため、バージョン更新のみの対応
• ■ 導入方法：dependabot.ymlのupdatesにnixエントリを追加し、directory・scheduleを指定するだけで即座に利用開始可能

DependabotバージョンアップデートがNixエコシステムに対応

DependabotバージョンアップデートがNixエコシステムに対応

DependabotバージョンアップデートがNixエコシステムに対応

関連リンク

• 📝 GitHub Blog Changelog — https://github.blog/changelog/2026-04-07-dependabot-version-updates-now-support-the-nix-ecosystem
• 📖 GitHub Copilot ドキュメント — https://docs.github.com/copilot
• 📖 Code Security ドキュメント — https://docs.github.com/code-security
• 📖 Dependabot ドキュメント — https://docs.github.com/code-security/dependabot

DependabotバージョンアップデートがNixエコシステムに対応

サマリー

• INTRO: npmのトラステッドパブリッシングがCircleCIに対応しました。OIDCベースの認証により、長期間有効なnpmトークンをCI環境に保存することなく、CircleCIワークフローから安全にパッケージを公開できます。
• ■ 変更内容：npmトラステッドパブリッシングがOIDCプロバイダーとしてCircleCIをサポートするようになり、GitHub ActionsおよびGitLab CI/CDに加わりました。CircleCIワークフローからパブリッシュしているメンテナーは、保存された認証情報を完全に排除し、CI/CDパイプラインを通じて直接認証できるようになります。
• ■ 対象範囲：この拡張により、トラステッドパブリッシングはCIプロバイダー別でnpmパブリッシャーの大部分をカバーするようになりました。設定はnpmウェブサイトおよび`npm trust` CLIコマンドから利用可能です。セットアップ手順については、トラステッドパブリッシングのドキュメントをご参照ください。
• ■ 提供状況：また、コミュニティから最もリクエストの多かった機能の一つである、npmjs.comウェブサイトのダークモードも提供開始します。チームはGitHub Copilot agent modeを使用してこれを構築し、最終レビューとリリース以外のエンジニアリング工数を最小限に抑えて提供するこ

npmトラステッドパブリッシングがCircleCIに対応

詳細

• ■ コア変更：CircleCIがOIDC IdPとしてnpmトラステッドパブリッシングに追加。CI環境に永続トークンを保存せずにパッケージ公開が可能に
• ■ アーキテクチャ：CircleCI（IdP）が署名付きJWTを発行→npmレジストリが検証→短命のパブリッシュトークンを発行するOIDCトークン交換フロー
• ■ セキュリティ：長期間有効なnpmアクセストークンの排除が最大の効果。漏洩時の不正パッケージ公開リスクとサプライチェーン攻撃の攻撃面を大幅に縮小
• ■ 移行手順：npmパッケージにトラステッドパブリッシャーポリシーを設定し、CircleCIワークフローでOIDCトークン取得ステップを追加して移行

npmトラステッドパブリッシングがCircleCIに対応

npmトラステッドパブリッシングがCircleCIに対応

flowchart LR
    A["CircleCIが3番目のOIDCトラステッドパブリッシング"]
    B["npm WebサイトUIおよびnpm trust CLIコマ"]
    C["主要CIプロバイダ3つの対応により「大多数のnpmパッケージ"]
    A --> B --> C
    style A fill:#1A3A2A,stroke:#BEFFD0,color:#BEFFD0
    style B fill:#0D6836,stroke:#BEFFD0,color:#FFFFFF
    style C fill:#1A3A2A,stroke:#2F94FF,color:#2F94FF
  

npmトラステッドパブリッシングがCircleCIに対応

関連リンク

• 📝 GitHub Blog Changelog — https://github.blog/changelog/2026-04-06-npm-trusted-publishing-now-supports-circleci
• 📖 GitHub Copilot ドキュメント — https://docs.github.com/copilot
• 📖 Code Security ドキュメント — https://docs.github.com/code-security

npmトラステッドパブリッシングがCircleCIに対応

サマリー

• INTRO: GitHub Advanced SecurityのアラートにDynatraceのランタイム情報を統合できるようになりました。コードスキャンやDependabotのアラートを、実際のデプロイ状況やランタイムリスクに基づいて優先順位付けできます。
• ■ 変更内容：Dynatraceのランタイムコンテキストを使用して、Kubernetes環境におけるデプロイ済みアーティファクトとランタイムリスクに基づいてGitHub Advanced Securityアラートの優先順位付けができるようになりました。
• ■ 対象範囲：DynatraceをGitHubに接続すると、Dynatraceがリポジトリにマッピングしたコンテナイメージのデプロイメントコンテキストとランタイムリスクシグナルが表示されます。このコンテキストを活用して、デプロイ済みアーティファクトに影響するアラート、特にDynatraceがより高リスクのランタイム状態を検出した場合のアラートに修正作業を集中できます。
• ■ 提供状況：デプロイメントの可視性とランタイムリスクシグナルを使用して、アラートページおよびセキュリティキャンペーンの両方で、GitHub code scanningアラートとDependabotアラートのフィルタリングと優先順位付けが可能です。たとえば、大量のリストから、デプロイ済みアーティファクトに影響し、インターネットに公開されている脆弱性のみに絞り込むことができ

Dynatraceのランタイムコンテキストでセキュリティアラートを優先順位付け

詳細

• ■ コア変更：GitHub Advanced SecurityアラートにDynatraceのランタイムコンテキストを付与し、デプロイ状況・公開状態・機密データアクセスに基づく優先順位付けを実現
• ■ アーキテクチャ：DynatraceのKubernetes監視がコンテナイメージのデプロイ情報とランタイムリスクシグナルを提供し、GitHubアラートのフィルタ述語として統合
• ■ セキュリティ：ランタイムコンテキストの導入により、静的解析だけでは判断できなかった実際のリスクレベルでアラートを評価でき、シグナル対ノイズ比が根本的に改善
• ■ 導入要件：GitHub Enterprise Cloud＋Advanced SecurityとKubernetes監視が有効なDynatraceサブスクリプションの両方が前提条件

Dynatraceのランタイムコンテキストでセキュリティアラートを優先順位付け

Dynatraceのランタイムコンテキストでセキュリティアラートを優先順位付け

flowchart LR
    A["runtime-risk:internet-exposed（"]
    B["has:deploymentフィルタでKubernetes環"]
    C["コードスキャン・Dependabotの両アラートでランタイム"]
    A --> B --> C
    style A fill:#1A3A2A,stroke:#BEFFD0,color:#BEFFD0
    style B fill:#0D6836,stroke:#BEFFD0,color:#FFFFFF
    style C fill:#1A3A2A,stroke:#2F94FF,color:#2F94FF
  

Dynatraceのランタイムコンテキストでセキュリティアラートを優先順位付け

関連リンク

• 📝 GitHub Blog Changelog — https://github.blog/changelog/2026-04-07-prioritize-security-alerts-with-runtime-context-from-dynatrace
• 📖 GitHub Copilot ドキュメント — https://docs.github.com/copilot
• 📖 Code Security ドキュメント — https://docs.github.com/code-security

Dynatraceのランタイムコンテキストでセキュリティアラートを優先順位付け