github.com の code scanning へは自動展開。GitHub Enterprise Server 3.24 にも同梱予定。

#GitHub Actions カスタムクエリ

Actions 用制御フローグラフ（CFG）が共有 CFG ライブラリ実装に切り替わった。特定の CFG ノード、エッジ、基本ブロック境界に依存したカスタムクエリは見直しが必要。

  • 削除: legacy の Completion 系クラス
  • 置き換え: CFG エッジラベル DirectSuccessor、BooleanSuccessor、ReturnSuccessor

#macOS 上の traced ビルド

Apple が macOS 27 と Xcode 27 で x86-64/arm64 マルチアーキテクチャバイナリを同梱しなくなったため、traced 解析に必要なバイナリが揃わない。

  • macOS 27（任意の Xcode）: コンパイル言語の autobuild と manual ビルドモードは非対応
  • macOS 26 で Xcode 27 を選択した場合も同様

#データ拡張と Python クエリ

データ拡張ファイルに JSON 構文を追加。YAML データ拡張と同じ構造で、// と /* */ コメントも可。拡張子 .json は JSON、それ以外は従来どおり YAML として解析。codeql test run は .ext.json も .ext.yml と同様に自動読込。

LLM 生成データ向けの threat model ai はオプトイン。組み込みソースモデルは無く、データ拡張でソースを定義する前提。

py/xxe、py/xml-bomb、py/nosql-injection は、設定した threat model に従って非信頼ソースを選ぶ。既定は従来どおり remote flow sources。データ拡張でモデルしたソースもクエリ結果に含まれる。

言語サポートの追加: Python 3.15 構文（match リテラルパターンの単項プラス、Unicode 17 識別子）、frozendict / sentinel のデータフロー、C23 _BitInt(N)、C# の positional pattern データフロー、Ruby の Grape::API サブアクセサを remote ソースとして扱う変更ほか。

#参考文献