GitHub、Dependabot alert を AI agent に割り当て remediation 用の draft PR を生成可能に

GitHubは2026年4月7日、Dependabot alert を AI coding agent に直接割り当てて remediation を進められるようにしたと発表した。今回の機能は、単純な version bump では済まず、repository 全体に code change が必要になる vulnerability 対応を想定している。GitHubによれば、利用者は alert detail page から Copilot、Claude、Codex を選び、draft pull request の形で修正案を受け取れる。

選ばれた agent は security advisory の内容と、問題の dependency が repository の中で実際にどう使われているかを分析する。その上で proposed fix を含む draft PR を作成し、dependency update によって発生した test failure の解消も試みる。GitHubは同じ alert に複数の agent を割り当てることもできるとしており、maintainer は一つの model の提案だけでなく remediation strategy を比較できる。

• breaking API や type change を伴う major version upgrade
• patched release がなく、安全な旧 version へ戻す必要がある package downgrade
• 既存の rule-based Dependabot engine では扱いにくい複雑な pull request

この機能が重要なのは、software supply chain workflow で分かれていた検知と修正を一つの流れに結び付けるからだ。Dependabot はこれまで structured detection と routine update を担ってきた。一方 coding agent は、repository 固有で engineering time の重い code surgery が必要な局面に入る。つまり alert 自体が vulnerability detection から code remediation へ移る handoff point になる。

GitHubは制約も明確にしている。AI-generated fix が常に正しいわけではなく、利用者は pull request を必ず review し、tests が通ることと、security issue が実際に解決していることを確認しなければならない。この機能には GitHub Code Security と coding agent access を含む Copilot plan が必要だ。security team にとっては human review をなくす機能というより、修正に時間がかかって停滞する alert backlog を減らすための加速装置と見るのが適切だ。