推出面向代码与依赖项的智能体自动修复功能
内容提要
GitHub Advanced Security for Azure DevOps 的 Copilot Autofix 已升级为智能体架构，可结合仓库上下文、自定义指令和技能生成符合团队规范的修复，并支持第三方代码扫描告警及依赖漏洞修复。新增 EPSS 评分和开发依赖识别，帮助优先处理依赖告警。该功能将于11月公开预览，生成修复会消耗 AI 积分，建议人工审核后再合并。
延伸解读
智能体修复如何贴合团队规范
Autofix 不再只给出通用补丁，而是利用 Copilot 编码智能体探索仓库上下文，并参考 .github 或 .agents 中的自定义指令与技能。例如，指令可要求使用团队批准的输入验证辅助函数，技能可描述包更新流程与兼容性检查。这有助于减少不符合内部规范的修复，但前提是团队已维护好这些指令和技能。
依赖漏洞修复与告警优先级判断
Autofix 现已支持依赖漏洞修复，可为受支持的依赖告警生成拉取请求并附解释。同时，EPSS 评分和开发依赖识别提供了额外上下文：EPSS 百分位越高，表示预测利用可能性相对排名越高，但不等于攻击概率；开发依赖徽章和范围筛选可区分仅开发依赖与运行时依赖。建议结合运行时范围、高 EPSS 区间、严重性和应用暴露面来安排处理顺序。
使用前需注意的限制与成本
生成修复会消耗 AI 积分，且启用 Autofix 并不会自动生成修复，需要针对具体告警手动请求。并非每次请求都能产出修复，AI 生成的建议仍需人工审核正确性。合并前应查看完整差异、运行构建和测试并验证代码变更。该功能将于 11 月公开预览，当前有限公开预览的组织可先行试用。
Q&A
Copilot Autofix 现在支持哪些新的修复类型？
Copilot Autofix 现在支持依赖漏洞修复，以及来自第三方代码扫描工具的告警修复。此前仅支持有限范围的 CodeQL 规则。
智能体架构的 Autofix 如何确保修复符合团队规范？
它使用 Copilot 编码智能体探索仓库上下文，并利用自定义指令和技能（位于 .github 或 .agents 目录）来指导修复，例如使用团队批准的输入验证辅助函数或包更新流程。
EPSS 评分在依赖告警处理中有什么作用？
EPSS 评分估计依赖漏洞在野被利用的可能性，以百分位显示。百分位越高，预测利用可能性相对排名越高，帮助优先处理依赖告警。
如何区分开发依赖和运行时依赖？
在支持的生态系统中，开发依赖检测会通过“Development”徽章和“Scope”过滤器区分仅开发依赖和运行时依赖，帮助理解依赖在项目中的角色。
启用智能体 Autofix 后会自动生成修复吗？
不会。启用 Autofix 不会自动生成修复，需要手动选择告警并请求修复。生成修复会消耗 AI 积分，且并非每次请求都能产生修复。
智能体 Autofix 的公开预览时间是什么时候？
智能体 Autofix 将于 11 月进入公开预览。
