GitHub a annoncé le 25 septembre 2026 qu’Agentic Autofix utilise désormais Copilot Memory lorsque cette mémoire est activée. L’objectif est de donner davantage de contexte à l’agent chargé de corriger une alerte de sécurité, puis de conserver le schéma de correction pour de futures tâches. Il s’agit d’une évolution en préversion publique, pas d’une garantie que chaque vulnérabilité sera résolue.
Ce qui change dans le traitement des alertes
Lorsqu’une alerte est confiée à Agentic Autofix, celui-ci peut consulter les mémoires existantes afin de comprendre les particularités du dépôt. Après avoir créé une correction, il enregistre le schéma employé comme nouvelle mémoire. GitHub indique que ce contexte pourra aider à traiter d’autres alertes et être réutilisé par d’autres fonctions Copilot, notamment la revue de code et le cloud agent. C’est le périmètre de l’annonce officielle du 25 septembre ; GitHub ne publie pas de mesure de gain de temps ou de taux de réussite pour cette intégration.
Copilot Memory peut conserver des faits liés à un dépôt, comme ses conventions ou ses choix d’architecture, et des préférences propres à un utilisateur. Les faits du dépôt sont vérifiés par rapport à la branche courante avant leur utilisation. La documentation indique également que les mémoires inutilisées sont supprimées après 28 jours, délai susceptible d’être réinitialisé lorsqu’une entrée est validée et réutilisée. Cette mémoire fonctionne aussi avec Copilot CLI et Copilot code review : elle n’est pas créée exclusivement pour Autofix.
Disponibilité : vérifier l’abonnement et les réglages
Les deux fonctions restent en préversion publique. Copilot Memory est proposée sur les formules Copilot payantes. Pour un compte individuel payant, elle est activée par défaut, mais l’utilisateur peut la désactiver. Dans une organisation ou une entreprise, un administrateur doit d’abord autoriser la politique correspondante. Il ne faut donc pas déduire de cette annonce que la mémoire sera active dans tous les dépôts ou pour tous les utilisateurs.
Agentic Autofix exige que Copilot cloud agent et Copilot Autofix soient disponibles dans le dépôt. Si le cloud agent ne l’est pas, l’assignation d’une alerte revient à Copilot Autofix classique. Une session Agentic Autofix est comptabilisée comme une session de cloud agent et consomme des crédits IA. Ces règles ne doivent pas être confondues avec celles de Copilot Autofix classique, qui peut être utilisé sans abonnement Copilot dans certains dépôts éligibles.
Une aide à la correction, pas une validation de sécurité
La mémoire peut rendre une correction plus cohérente avec le contexte du projet, mais cette possibilité ne remplace ni la revue humaine ni les tests. GitHub décrit Agentic Autofix comme fonctionnant au mieux : même lorsqu’il relance CodeQL pour vérifier une proposition, il ne peut pas confirmer la résolution de toutes les alertes, notamment celles issues de requêtes personnalisées ou d’outils tiers. Avant d’adopter ce flux, une équipe doit donc contrôler les politiques activées, les crédits consommés et la qualité des modifications proposées.
