GitHub Copilot CLI：/security-review で push 前に脆弱性チェック

要約

GitHub Copilot CLI に /security-review コマンドが追加されました（実験的パブリックプレビュー）。ローカルのコード変更を分析し、インジェクション・XSS・不安全なデータ処理・パストラバーサル・弱い暗号化などの脆弱性を、信頼度・重大度でスコアリングした形式で提供します。ターミナルを離れずに実行でき、実行可能な改善提案も一緒に得られます。

GitHub の Code Scanning・Dependabot・Secret Scanning を置き換えるのではなく補完するツールとして位置付けられています。

何が変わったか

• /security-review コマンド追加: Copilot CLI で実験モードを有効化すると使用可能。
• 検出対象: インジェクション、XSS、不安全なデータ処理、パストラバーサル、弱い暗号化。
• 出力形式: 信頼度・重大度でスコアリングされた検出結果と実行可能な改善提案。
• 有効化方法: Copilot CLI の実験モードを有効化して使用（通常モードでは非表示）。
• 位置付け: Code Scanning・Dependabot・Secret Scanning の補完。置き換えではない。

業務インパクト（一般企業向け）

開発フローに「PR 作成前のセキュリティチェック」を組み込むコストが下がります。従来は SAST ツールの設定や CI での検出結果確認が主な手段でしたが、Copilot CLI を使う開発者なら追加ツール不要でその場でチェックを実行できます。

ただし、現時点は実験的プレビューです。CI/CD のゲートとして本番利用するには、既存の SAST ツールと並行して精度を検証する期間が必要です。Code Scanning などの既存ツールを置き換えず、開発者の早期気付きを支援する「最初の目」として使うのが現実的な導入ステップです。

副業・個人活用視点

個人リポジトリや受託開発で Copilot CLI を使っている場合、コードを push する前に /security-review を走らせる習慣を取り入れると、セキュリティ観点のレビューをセルフチェックできます。クライアントに納品するコードの品質担保に一定の根拠が生まれます。実験的機能のため誤検知もあり得ることを念頭に、改善提案を鵜呑みにせず確認する姿勢で使うことが前提です。