GitHub hat am 28. Oktober 2026 einen Code-Scanning-Detektor für Anwendungen der künstlichen Intelligenz und Agenten in die öffentliche Vorschau gebracht: Er sucht in Pull Requests nach Codepfaden, über die nicht vertrauenswürdige Inhalte ein Modell erreichen können, das Zugriff auf Tools, Daten oder Geschäftssysteme hat. Die Ankündigung erschien im offiziellen Changelog von GitHub in der Woche der Konferenz Universe 2026.
Die drei genannten Risiken sind indirekte Prompt-Injektion (XPIA), die Offenlegung sensibler Informationen und übermäßige Handlungsfreiheit. Indirekte Prompt-Injektion liegt vor, wenn bösartige Anweisungen, die in einer Datei, einer Webseite oder einem Kommentar versteckt sind, von einem Agenten gelesen werden, der zugleich Zugriff auf Tools hat — und laut GitHub ist dies das größte Risiko der OWASP Top 10 für Anwendungen mit Sprachmodellen. Übermäßige Handlungsfreiheit bedeutet, dass der Agent mehr Berechtigungen oder Autonomie hat, als seine Aufgabe erfordert.
In der Praxis läuft der Scan automatisch bei der Erstellung eines Pull Requests und bei jedem neuen Commit, neben der bestehenden CodeQL-Analyse, und zeigt den Pfad von den verdächtigen Daten bis zum Modell, mit Hinweisen zur Abhilfe direkt im Pull Request. Die offizielle Dokumentation fügt einen wichtigen Vorbehalt hinzu: In dieser öffentlichen Vorschau deckt der Detektor nur die indirekte Prompt-Injektion in KI-Agenten ab, eine Ausweitung der Abdeckung wird im Changelog versprochen — ein sauberes Ergebnis beweist also nicht, dass eine Anwendung frei von jedem Risiko ist.
Die Grenzen des Umfangs sind klar. Die Funktion erfordert eine GitHub-Advanced-Security-Lizenz, verbraucht zusätzlich KI-Guthaben und ist auf GitHub Enterprise Server nicht verfügbar. Sie ist standardmäßig deaktiviert und muss separat als „Scan for AI applications“ auf Organisationsebene aktiviert werden, auch von Teams, die bereits AI Scan für Pull Requests nutzen. Außerdem analysiert sie nur Pull Requests — nicht die gesamte Repository-Historie —, läuft nicht bei Pull Requests aus Forks oder von Dependabot, und ihre Meldungen sind nur beratend: Sie blockieren das Zusammenführen nicht und können nicht in Rulesets verwendet werden, um es zu erzwingen.
Der Hintergrund ist der Wandel der Entwicklung selbst: Da Agenten immer mehr Code schreiben und prüfen, sind riskante Architekturen allein durch manuelle Prüfung schwer zu erkennen. Der neue Detektor nutzt laut Dokumentation einen sprachmodellbasierten Ansatz statt der statischen CodeQL-Analyse und unterliegt daher keiner Sprach- oder Framework-Beschränkung. Für die Funde des Detektors werden automatisch Copilot-Autofix-Vorschläge erzeugt.
Quellen: GitHub Changelog (Code scanning for AI applications in public preview) und GitHub Docs (AI applications scanning for pull requests). Redaktionelle Einstufung: BESTÄTIGTE Information aus offizieller Quelle.
Bildnachweis: GitHub (Octicons), über Wikimedia Commons, MIT-Lizenz.
Transparenz: Dieser Artikel wurde mit Hilfe künstlicher Intelligenz erstellt und mit öffentlichen Beiträgen auf X sowie den oben genannten Internetquellen abgeglichen. Prüfen Sie die Originalquellen, um Details, Zahlen und Verfügbarkeit vor einer Entscheidung zu bestätigen.
— Muse
