GitHub Copilot sprawdza kod pod kątem luk. Za darmo, w aplikacji

GitHub dołożył do aplikacji Copilota komendę /security-review, która skanuje twój kod pod kątem luk bezpieczeństwa, zanim go opublikujesz. Ogłoszono to 14 lipca 2026 wpisem w changelogu i, co najważniejsze dla osób, które dopiero zaczynają, funkcja działa we wszystkich planach: od darmowego przez Pro po Business i Enterprise. Jest na razie w publicznej wersji zapoznawczej (public preview), więc możesz ją włączyć od ręki, bez czekania na osobne wdrożenie.

Co dokładnie robi ta komenda

Wpisujesz /security-review w aplikacji Copilota, a asystent analizuje zmiany, które właśnie wprowadziłeś w kodzie, i zwraca listę potencjalnych problemów bezpieczeństwa. Każdy z nich dostaje ocenę ważności i pewności, żebyś wiedział, co naprawić w pierwszej kolejności, a co jest tylko drobną uwagą. Do części zaleceń dołączone są gotowe poprawki, które zastosujesz bez wychodzenia z aplikacji.

GitHub wymienia konkretne kategorie, które skan wychwytuje: podatności typu injection (wstrzyknięcie kodu lub zapytań), cross-site scripting (XSS), niebezpieczne obchodzenie się z danymi, path traversal (wychodzenie poza dozwolony katalog przy operacjach na plikach) oraz słabą kryptografię. To klasyczny zestaw błędów, które regularnie trafiają do aplikacji webowych, często bez wiedzy autora.

Dlaczego to ważne, jeśli budujesz z AI

Tu jest sedno dla czytelnika vibecode.pl. Kiedy model generuje ci działający kod, on wygląda dobrze i zwykle robi to, o co prosiłeś. Problem w tym, że „działa” i „jest bezpieczne” to dwie różne rzeczy. Wygenerowany fragment potrafi na przykład sklejać zapytanie do bazy danych z tekstem od użytkownika, co otwiera drzwi do wstrzyknięcia SQL, albo wyświetlać nieoczyszczone dane wprost na stronie, co jest podręcznikowym XSS. Osoba, która nie jest programistą, nie ma jak tego wyłapać samą lekturą kodu, bo nie wie, czego szukać.

Komenda /security-review przesuwa ten moment kontroli na sam początek, jeszcze zanim wypchniesz zmiany na serwer czy do repozytorium. GitHub nazywa to sprawdzaniem „in-flight”, czyli w locie, w trakcie pracy. To uzupełnienie mechanizmów, które GitHub oferował już wcześniej, ale dopiero po opublikowaniu kodu: code scanning, Dependabot i skanowanie sekretów. Różnica jest praktyczna. Zamiast dowiedzieć się o luce po fakcie, dostajesz sygnał w chwili, gdy jeszcze najłatwiej ją poprawić.

Skąd się to wzięło

Funkcja nie spadła z nieba. Ten sam skan bezpieczeństwa trafił najpierw do Copilota w wersji terminalowej (Copilot CLI) wcześniej, 10 czerwca 2026. Teraz GitHub przeniósł go do aplikacji z graficznym interfejsem, czyli tam, gdzie realnie pracuje osoba nietechniczna. To spójny kierunek: narzędzia bezpieczeństwa, które kiedyś były domeną zespołów DevOps i inżynierów, schodzą do zwykłego okna, w którym klikasz i piszesz prompty.

Jak zacząć

Sposób użycia jest prosty. Otwierasz swój projekt w aplikacji Copilota, wprowadzasz zmiany w kodzie, a potem uruchamiasz komendę /security-review. Copilot przygotuje uporządkowany przegląd: od najpoważniejszych znalezisk do drobiazgów, z sugerowanymi poprawkami przy tych, które da się naprawić automatycznie. Nie potrzebujesz do tego dodatkowej konfiguracji ani osobnej licencji, bo funkcja jest wpięta w plany, które już masz.

Czego to nie załatwia

Warto zachować proporcje. Automatyczny skan bezpieczeństwa to filtr na typowe, dobrze znane błędy, a nie gwarancja, że aplikacja jest odporna na wszystko. Nie zastąpi przemyślenia, kto ma dostęp do danych, jak przechowujesz hasła użytkowników czy co się stanie, gdy ktoś celowo poda złośliwe dane. Model potrafi też coś przeoczyć albo zgłosić fałszywy alarm, dlatego oceny ważności i pewności są tu pomocne, ale nie zwalniają z myślenia. Traktuj /security-review jak pierwszą linię obrony, która łapie oczywiste wpadki, a nie jak audyt bezpieczeństwa.

Co z tego wynika dla ciebie

Jeśli budujesz aplikacje z pomocą AI i publikujesz je w internecie, masz teraz darmowe narzędzie, które wychwyci część luk, zanim zrobią szkodę. To realnie obniża próg wejścia w higienę bezpieczeństwa dla osób, które nigdy nie uczyły się o wstrzyknięciach SQL czy XSS. Włączenie komendy nic nie kosztuje i zajmuje chwilę, a potencjalna oszczędność (uniknięcie wycieku danych albo przejęcia aplikacji) jest nieproporcjonalnie duża. Dla kogoś, kto dopiero wchodzi w vibe coding, to jeden z tych dodatków, które warto włączyć od pierwszego dnia i wyrobić w sobie odruch uruchamiania go przed każdą publikacją.