GitHub เปิดใช้ Agentic Autofix แก้ช่องโหว่โค้ดอัตโนมัติแล้ว 15 ต.ค. 2026

เมื่อวันพฤหัสบดีที่ 15 ตุลาคม 2026 GitHub ประกาศว่า Agentic Autofix สำหรับ code scanning alerts เปิดให้ใช้งานแบบทั่วไป (General Availability) แล้ว (GitHub Changelog) มันไม่ใช่แค่ตัวช่วยเดิมที่เสนอโค้ดแก้ให้หนึ่งจุด แต่เป็น agent ที่ทำงานข้ามโค้ดเบสเหมือนนักพัฒนาคนหนึ่ง คือสำรวจไฟล์ที่เกี่ยวข้อง เสนอวิธีแก้ รัน CodeQL ซ้ำเพื่อยืนยันว่า alert ถูกปิดจริง แล้วเปิด draft pull request มาให้เราตรวจก่อนตัดสินใจ merge

ในวันเดียวกัน GitHub ยังประกาศให้ AI Scan for pull requests ของ code scanning เปิดใช้งานทั่วไปด้วย โดยเป็นตัวเสริม CodeQL สำหรับการหาช่องโหว่ในการเปลี่ยนแปลงของ pull request ในภาษาและเฟรมเวิร์กที่ CodeQL ยังไม่ครอบคลุมในปัจจุบัน (GitHub Changelog October 2026)

ผมเขียนเรื่องนี้เพราะคนที่ใช้ GitHub ทุกวันมักเจอ alert ความปลอดภัยค้างอยู่ในระบบ และเครื่องมือที่ลงมือเตรียมการแก้ให้ได้ ฟังดูน่าสนใจ แต่ก็มีเรื่องสิทธิ์ ค่าใช้จ่าย และการตรวจของมนุษย์ที่ต้องรู้ก่อนเปิดใช้ ผมจะแยกให้ดูว่าแหล่งข้อมูลยืนยันอะไรได้บ้าง และอะไรยังไม่ชัดครับ

สรุป 30 วินาที: เกิดอะไรขึ้น

Agentic Autofix คือฟีเจอร์ที่ให้ Copilot ช่วยตรวจสอบและแก้ alert แบบ end-to-end เมื่อเรามอบหมาย (assign) code scanning alert ให้ Copilot มันจะสำรวจไฟล์ที่เกี่ยวข้องทั่วโค้ดเบส สร้างข้อเสนอแก้ไข รัน CodeQL ซ้ำเพื่อยืนยัน วนปรับถ้าจำเป็น แล้วเปิด draft pull request ให้เราตรวจ (GitHub Changelog)

ถ้าเลือกจากรายการ security alerts ใน repository หรือ security campaign เราเลือกได้สูงสุด 25 alerts ให้ Copilot แก้พร้อมกันใน pull request เดียว (GitHub Changelog)

ผู้ที่ใช้ได้ตามประกาศคือลูกค้า GitHub Code Security และ GitHub Advanced Security บน GitHub Enterprise Cloud รวมถึง Enterprise Cloud แบบ data residency เอกสารของ GitHub ระบุว่าไม่ต้องมี Copilot license เพื่อใช้ฟีเจอร์นี้ (GitHub Docs) แต่ต้องกำหนด Copilot billing method ไว้ (GitHub Changelog)

แต่ละ agent session กิน AI Credits จากงบ Code Security และกิน GitHub Actions minutes ด้วย ส่วน pull request ที่ได้เป็นแบบ draft และเอกสารของ GitHub ย้ำว่าต้องตรวจและทดสอบการเปลี่ยนแปลงก่อน merge เสมอ (GitHub Docs)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเป็นนักพัฒนาที่ต้องไล่ดู alert จาก code scanning งานแก้หนึ่งจุดมักไม่ใช่แค่แก้บรรทัดเดียว ต้องเปิดดูไฟล์ที่เกี่ยวข้อง ทำความเข้าใจบริบท แก้ แล้วตรวจว่า alert หายจริง Agentic Autofix พยายามทำขั้นตอนเหล่านี้แทนเราบางส่วน โดยเอกสารของ GitHub บอกว่า session จะสำรวจโค้ดเบสนอกเหนือจากไฟล์ที่ได้รับผลกระทบ (GitHub Docs) ส่วนจะประหยัดเวลาได้แค่ไหน แหล่งข้อมูลไม่ได้ให้ตัวเลข ต้องลองกับงานจริงของทีมเองครับ

ถ้าคุณเป็นเจ้านายหรือเจ้าของธุรกิจที่จ้างทีมพัฒนา สิ่งที่ควรรู้คือฟีเจอร์นี้มีต้นทุนจริง เพราะกิน AI Credits และ Actions minutes และต้องมีผู้ดูแลระดับ enterprise เปิดนโยบายก่อน ผมคิดว่าถ้าใช้ดี ๆ อาจช่วยให้ alert ถูกจัดการได้ไวขึ้น แต่นั่นเป็นความเห็นของผมเอง ไม่ใช่ตัวเลขจากแหล่งข้อมูล

ถ้าคุณเป็นคนทั่วไปที่ไม่ได้เขียนโค้ด เรื่องนี้เกี่ยวทางอ้อม เพราะแอปและเว็บที่ใช้ทุกวันสร้างจากโค้ดที่ต้องผ่านการตรวจความปลอดภัย เครื่องมือที่ช่วยจัดการ alert ได้เป็นระบบมากขึ้นอาจช่วยให้ทีมพัฒนาปิดช่องโหว่ได้ทันเวลาขึ้น แต่ไม่มีเครื่องมือไหนรับประกันว่าโค้ดจะไม่มีช่องโหว่เลย

ทำงานยังไง

ผมเปรียบ Agentic Autofix เป็นช่างซ่อมบ้านที่ไม่ได้แค่ชี้ว่ารั่วตรงไหน แต่เปิดใบเสนอซ่อมพร้อมทดสอบให้ดูด้วย แต่เจ้าของบ้านยังต้องเป็นคนเซ็นอนุมัติก่อนเริ่มงานจริง (นี่เป็นการเปรียบเทียบของผม ไม่ใช่ถ้อยคำของ GitHub) ใน GitHub ใบเสนอนั้นคือ draft pull request และคนเซ็นคือเราที่ต้องรีวิวแล้วค่อย merge

ขั้นตอนตามที่ changelog อธิบายคือ (GitHub Changelog)

1. เรามอบหมาย code scanning alert ให้ Copilot
2. Copilot สำรวจไฟล์ที่เกี่ยวข้องทั่วโค้ดเบส
3. สร้างข้อเสนอแก้ไข
4. รัน CodeQL ซ้ำเพื่อ validate ว่าแก้ได้จริง
5. วนปรับถ้าจำเป็น แล้วเปิด draft pull request
6. pull request มีสรุปการแก้ เหตุผลที่ทำให้ alert ปิด และขั้นตอน validation ที่ Copilot ทำ

เมื่อ pull request พร้อมแล้ว เราสั่งให้ Copilot แก้เพิ่มได้ด้วยการคอมเมนต์ใน pull request หรือโต้ตอบกับ session ในแท็บ Agents ของ repository

วิธีเริ่มใช้ เมื่อเปิดฟีเจอร์แล้ว ปุ่ม Generate Fix ฟรีบน alert รายตัวจะถูกแทนด้วยปุ่ม Assign to Copilot เราใช้ได้สามทาง คือจาก alert ใด ๆ บน default branch ของ repository จากรายการ alerts หรือ security campaign โดยเลือกได้สูงสุด 25 รายการ และผ่าน Update a Code Scanning Alert REST API (GitHub Changelog)

ข้อจำกัดเรื่องขอบเขต ฟีเจอร์รองรับ alert บน default branch เท่านั้น alert ที่ตรวจพบเฉพาะใน pull request หรือ branch อื่นจะ assign ให้ Copilot ไม่ได้ (GitHub Changelog)

ข้อจำกัดเรื่องการยืนยัน เอกสารของ GitHub ระบุว่า Agentic Autofix ทำงานแบบ best-effort Copilot validate ด้วยการรัน CodeQL ซ้ำกับ code scanning query suite ปกติ และไม่สามารถยืนยันการแก้สำหรับ alert จาก custom CodeQL queries, security-extended query suite หรือเครื่องมือ third-party (GitHub Docs) ซึ่งสอดคล้องกับที่ Creators Toolbox สรุปไว้ (Creators Toolbox)

เอกสารยังบอกว่า Copilot ใช้ custom instructions ที่ใช้ได้กับการสร้างการแก้ไขนั้นด้วย (GitHub Docs)

AI Scan for pull requests (สั้น ๆ)

ในหน้ารวม changelog เดือนตุลาคม 2026 มีข้อความว่า code scanning AI Scan for pull requests เปิดใช้งานทั่วไปแล้ว มันเสริม CodeQL ด้วยการหาช่องโหว่ในการเปลี่ยนแปลงของ pull request สำหรับภาษาและเฟรมเวิร์กที่ CodeQL ยังไม่ครอบคลุมในปัจจุบัน (GitHub Changelog October 2026) แหล่งที่ผมมีให้รายละเอียดเรื่องนี้แค่ข้อความสั้นนี้ ผมจึงไม่ลงรายละเอียดเรื่องภาษา ราคา หรือวิธีเปิดใช้ของ AI Scan เพราะยืนยันไม่ได้

จุดหักมุม: ไม่ต้องมี Copilot license แต่ก็ไม่ใช่ของฟรี

จุดที่คนอาจเข้าใจผิดคือเอกสารของ GitHub บอกว่าไม่ต้องมี Copilot license เพื่อใช้ Agentic Autofix (GitHub Docs) แต่ changelog ระบุว่าต้องกำหนด Copilot billing method และแต่ละ session กิน AI Credits กับ GitHub Actions minutes (GitHub Changelog) พูดง่าย ๆ คือไม่ต้องซื้อที่นั่ง Copilot แต่ต้องมีวิธีจ่ายเงินตามการใช้งาน

อีกจุดคือ GitHub มีตัวช่วยแก้ alert สองแบบที่แยกกัน (GitHub Docs)

• Agentic autofix ใช้เมื่ออยากให้ Copilot สืบสวนและแก้หนึ่ง alert หรือมากกว่านั้นให้จบกระบวนการ แล้วเปิด draft pull request
• Copilot Autofix ให้โค้ดที่แนะนำหนึ่งชุดสำหรับหนึ่ง alert ที่รองรับ เราดูและนำไปสร้าง pull request เอง และไม่กิน AI credits

Copilot Autofix ยังอยู่เหมือนเดิมและเปิดไว้โดยปริยายสำหรับ repository ที่ใช้ CodeQL เว้นแต่ผู้ดูแลปิด ถ้าไม่ได้เปิด agentic autofix ให้ repository ใด เรายังใช้ Copilot Autofix กับ alert ที่รองรับได้ตามเดิม (GitHub Docs)

หลักฐานความปลอดภัยและความเสี่ยงที่ยังเหลือ

ผู้เผยแพร่และที่มา ฟีเจอร์นี้ประกาศโดย GitHub เองผ่าน changelog และเอกสารทางการ (GitHub Changelog, GitHub Docs) นี่เป็นบริการบนแพลตฟอร์ม ไม่ใช่แพ็กเกจที่เราติดตั้งเอง แหล่งที่ตรวจจึงไม่มีหมายเลขเวอร์ชันหรือ tag ให้อ้างอิง

Advisory ที่ทราบ แหล่งข้อมูลที่ผมตรวจไม่มีหน้า security advisory ของฟีเจอร์นี้ ผมจึงบอกไม่ได้ทั้งว่ามีหรือไม่มี advisory อย่าตีความว่าไม่มีข่าวคือปลอดภัย ควรเช็กหน้าความปลอดภัยของ GitHub เองก่อนใช้งานจริง

สิทธิ์เริ่มต้นของ agent แหล่งข้อมูลไม่ได้ระบุว่า agent เข้าถึง filesystem, shell หรือ network ได้แค่ไหน ผมจึงไม่ขอเดาเรื่องนี้ สิ่งที่ยืนยันได้จากเอกสารคือเรื่องการควบคุมการเข้าถึงในระดับองค์กร (GitHub Docs: Managing access)

• ผู้ดูแลระดับ enterprise ต้องอนุญาตก่อน แล้วระดับ organization ถึงจะเปิดใช้ได้ และ repository administrator เลือกปิดหรือเปิดใหม่ได้ภายใต้การตั้งค่าระดับบน
• ถ้าปิดที่ระดับ enterprise หรือ organization repository administrator จะเปิดกลับเองไม่ได้
• หลังเปิดแล้ว ผู้ใช้ที่มีสิทธิ์เขียน (write access) ใน repository สามารถ assign alert ให้ Copilot ได้

ความเสี่ยงที่ยังเหลือ จากข้อมูลในแหล่งข่าว ผมสรุปได้ดังนี้

• โค้ดที่ AI เสนออาจผิดหรือไม่ครบ GitHub เองย้ำว่าให้ตรวจและทดสอบก่อน merge
• การ validate มีขอบเขต ยืนยันกับ query suite ปกติเท่านั้น และไม่ครอบคลุม custom queries, security-extended หรือเครื่องมือ third-party
• CodeQL ผ่านไม่ได้แปลว่าพฤติกรรมของแอปไม่เปลี่ยน ตรงนี้เป็นข้อสังเกตของผมว่ายังต้องมีการทดสอบของทีมเองอยู่ดี
• ค่าใช้จ่ายเพิ่มตามจำนวน session

ผมจึงไม่ขอบอกว่าปลอดภัย 100% และแนะนำให้ลองใน throwaway project หรือ repository ทดสอบก่อนเสมอ ก่อนนำไปใช้กับโค้ดที่มีมูลค่าจริง

เรื่องเงิน / ผลกระทบ

ตาม changelog Agentic autofix กิน AI Credits จากงบ Code Security และ GitHub Actions minutes การใช้ AI Credits จะแสดงในส่วน “AI usage” ของ enterprise billing and licensing ในชื่อผลิตภัณฑ์ “Advanced Security” และเราตั้งงบระดับ SKU สำหรับ Code Security AI credits ได้ (GitHub Changelog)

เอกสารการจัดการสิทธิ์เตือนให้ทบทวนว่าการใช้ AI credits และ Actions minutes กระทบต้นทุนอย่างไรก่อนเปิดฟีเจอร์ (GitHub Docs: Managing access) ส่วน Copilot Autofix ที่เสนอโค้ดแก้หนึ่งชุดไม่กิน AI credits (GitHub Docs) เป็นทางเลือกเมื่ออยากคุมงบ

ผมไม่มีตัวเลขค่าใช้จ่ายต่อ session เพราะแหล่งข้อมูลไม่ได้ระบุ ผมจึงไม่แปลงเป็นเงินบาทหรือประมาณการใด ๆ สิ่งที่ทำได้คือกำหนดงบ ติดตามหน้า AI usage และเริ่มจากจำนวน alert น้อย ๆ ก่อน เพราะยิ่ง assign มาก ค่าใช้จ่ายก็เพิ่มตามจำนวน session

เรื่องการเลือกชุดโค้ดที่ให้ทำงาน GitHub เปิดให้เลือก alert สูงสุด 25 รายการต่อ pull request ซึ่งทำให้รีวิวครั้งเดียวได้หลายจุด แต่ pull request ที่ใหญ่ขึ้นก็ตรวจยากขึ้น ถ้าทีมยังไม่คุ้นเคย ผมแนะนำให้เริ่มจากกลุ่มเล็ก ๆ ก่อน นี่เป็นคำแนะนำของผมเอง

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ใครใช้ได้จริง changelog และ Creators Toolbox ระบุว่าพร้อมใช้สำหรับลูกค้า GitHub Code Security และ GitHub Advanced Security บน GitHub Enterprise Cloud (GitHub Changelog, Creators Toolbox) แต่เอกสารการจัดการสิทธิ์ยังพูดถึง standalone organization และ public repository ที่เป็นของ personal account ซึ่ง repository administrator เปิดเองได้ถ้าเข้าเงื่อนไข “eligible” (GitHub Docs: Managing access) แหล่งที่ผมมีไม่ได้อธิบายว่า eligible หมายถึงอะไรบ้าง ใครไม่แน่ใจควรเช็กกับเอกสารต้นทางหรือผู้ดูแลองค์กร นอกจากนี้ Agentic Autofix ใช้ไม่ได้กับ repository ที่เป็นของ Enterprise Managed Users

เรื่อง Copilot license ข้อความว่าไม่ต้องมี Copilot license อยู่ในเอกสารของ GitHub และบทความ Creators Toolbox (GitHub Docs, Creators Toolbox) ส่วน changelog พูดถึงเฉพาะว่าต้องกำหนด Copilot billing method สองเรื่องนี้ไม่ขัดกัน แต่อ่านรวดเดียวอาจสับสนได้

Public preview เอกสารการจัดการสิทธิ์ระบุว่าองค์กรที่เคยใช้ในช่วง public preview ต้องเปิดใช้ใหม่อีกครั้ง (GitHub Docs: Managing access) ใครเคยลองช่วง preview ต้องเช็กการตั้งค่าอีกรอบ

ค่าใช้จ่ายต่อ session ไม่มีตัวเลขในแหล่งที่ตรวจ

AI Scan for pull requests แหล่งที่ผมมีคือข้อความสั้นในหน้ารวม changelog เท่านั้น จึงไม่ทราบรายละเอียดภาษาที่รองรับ วิธีเปิดใช้ หรือการคิดค่าใช้จ่าย

แล้วเราควรทำอะไร

สำหรับนักพัฒนา

1. ถามผู้ดูแลองค์กรก่อนว่ามีนโยบาย Agentic Autofix เปิดอยู่หรือไม่ และ repository ของคุณอยู่ในขอบเขตหรือเปล่า
2. ลองกับ throwaway repository ก่อน อย่าเพิ่งใช้กับโค้ด production
3. เมื่อได้ draft PR ให้อ่านสรุป ตรวจโค้ด และทดสอบเองทุกครั้งก่อน merge
4. ถ้าต้องการปรับ ให้คอมเมนต์ใน PR หรือคุยกับ session ในแท็บ Agents
5. จำไว้ว่า alert ที่ตรวจพบเฉพาะใน PR หรือ branch อื่นจะ assign ไม่ได้ และ alert จาก custom queries หรือเครื่องมือ third-party ยังยืนยันการแก้ไม่ได้

สำหรับ admin และ security manager (ตามเอกสาร Managing access)

1. Enterprise: เข้า Policies > Advanced Security แล้วตั้ง Agentic Autofix policy เป็น All organizations: Allowed (การอนุญาตนี้ยังไม่ได้เปิดฟีเจอร์ให้ organization ใด)
2. Organization: ที่ Settings > Advanced Security > Global settings ใต้ “Code scanning” ตั้ง Agentic Autofix เป็น On ก่อนเปิด ให้คุยกับ repository administrator เรื่อง repository ที่ควรขอยกเว้น
3. ตรวจผลกระทบเรื่อง AI credits และ Actions minutes ก่อนเปิด แล้วตั้งงบ SKU level สำหรับ Code Security AI credits
4. ติดตามหน้า AI usage ใน billing สม่ำเสมอ
5. สื่อสารกับทีมว่าเมื่อไหร่ใช้ agentic autofix และเมื่อไหร่ใช้ Copilot Autofix ที่ไม่กิน AI credits
6. ถ้าต้องการหยุดใช้ ปิดได้ทั้งระดับ enterprise, organization และ repository

สำหรับเจ้าของธุรกิจหรือผู้จัดการ

1. ถามทีมว่าองค์กรมี GitHub Code Security หรือ Advanced Security บน Enterprise Cloud หรือยัง
2. ให้ทีมมีงบและวิธีติดตามค่าใช้จ่ายก่อนเริ่มใช้ ไม่ต้องเดาตัวเลขเอง
3. กำหนดนโยบายว่าทุก draft PR จาก AI ต้องมีมนุษย์รีวิว

ผมมองว่า…

ผมมองว่า Agentic Autofix เป็นก้าวที่น่าสนใจ เพราะเปลี่ยนจากการแนะนำโค้ดหนึ่งชุดมาเป็นการลงมือสืบสวน แก้ และตรวจซ้ำให้ครบกระบวนการ แล้วส่งงานมาในรูปแบบที่คนรีวิวได้ตามปกติคือ pull request นี่เป็นความเห็นของผม ไม่ใช่ข้อสรุปจากแหล่งข้อมูล

แต่ผมไม่อยากให้มองว่ามันเป็นระบบอัตโนมัติที่ปล่อยทิ้งไว้ได้ ช่างอาจเสนอใบซ่อมมาอย่างดี แต่เจ้าของบ้านก็ยังต้องอ่านก่อนเซ็น ทั้งเรื่องความถูกต้องของโค้ด เรื่องค่าใช้จ่าย และเรื่องสิทธิ์ใครเปิดใช้ได้ ผมอยากให้ทีมที่สนใจเริ่มจากโปรเจกต์ทดลอง คุมงบ และให้คนตรวจทุกครั้งครับ

ปิดท้าย: สิ่งที่ต้องจับตา

• ค่าใช้จ่าย AI Credits และ Actions minutes ของ session จริงในเดือนแรก ๆ
• รายละเอียดเพิ่มเติมของ AI Scan for pull requests เช่น ภาษาที่ครอบคลุม ซึ่งแหล่งที่ผมมียังไม่ระบุ
• ว่าข้อจำกัดเรื่อง custom queries และเครื่องมือ third-party จะเปลี่ยนไปหรือไม่ (ตอนนี้ยังไม่มีข้อมูลในแหล่งที่ตรวจ)
• ข้อมูลเพิ่มเติมเรื่องสิทธิ์และการทำงานของ agent ถ้า GitHub เผยแพร่

Recap

• Agentic Autofix GA แล้วเมื่อ 15 ต.ค. 2026 สำหรับลูกค้า Code Security / Advanced Security บน Enterprise Cloud
• ทำงานโดยสำรวจโค้ดเบส → เสนอ fix → validate ด้วย CodeQL → เปิด draft PR
• เลือกได้สูงสุด 25 alerts ต่อ PR และรองรับ alert บน default branch เท่านั้น
• ไม่ต้องมี Copilot license แต่ต้องมี Copilot billing method และกิน AI Credits + Actions minutes
• Enterprise admin ต้องอนุญาตก่อน แล้ว organization เปิดใช้ ส่วน repository admin เลือกปิดหรือเปิดใหม่ได้
• ต้อง review และทดสอบ draft PR เองทุกครั้งก่อน merge
• ลองใน throwaway project ก่อนใช้งานจริง และไม่ถือว่าปลอดภัย 100%
• ตั้งงบ SKU level และติดตามหน้า AI usage
• AI Scan for pull requests ก็ GA วันเดียวกัน ช่วยเสริม CodeQL ในภาษาที่ CodeQL ยังไม่ครอบคลุม