GitHub Copilot Code Review có API quản trị: enterprise cần kiểm soát MCP, custom instructions và AI credits

GitHub Changelog ngày 06/11/2026 công bố các API mới để quản trị GitHub Copilot code review từ cấp enterprise tới repository. Cập nhật cũng bổ sung attribution cho output của Copilot, hiển thị AI credits trong agent session, cải thiện review overview và cơ chế retry. Đây là thay đổi đáng chú ý khi code review dùng MCP server hoặc custom instructions bắt đầu trở thành một phần của pipeline kỹ thuật.

Quản trị policy qua REST và GraphQL API

Enterprise administrator có thể bật, tắt Copilot code review cho toàn bộ organization hoặc để từng organization tự quyết. Organization administrator quản lý enablement, mức review effort mặc định và runner configuration; policy do enterprise đặt không bị ghi đè. Repository administrator quản lý review effort, quyền dùng custom instructions và MCP tools.

Repository settings endpoint hỗ trợ GitHub Apps và fine-grained personal access token với quyền Administration: read để đọc hoặc Administration: write để ghi. Ngược lại, enterprise/organization settings endpoint, gồm organization runner endpoint, chưa hỗ trợ GitHub Apps hay fine-grained PAT; classic PAT cần quyền admin repository. Đội platform cần chọn đúng token và scope trước khi tự động hóa rollout.

Biết Copilot đã dùng gì để đưa ra nhận xét

API nay trả explicit attribution để phân biệt review và comment do Copilot tạo. Khi metadata có sẵn, quản trị viên cũng xem được review effort đã dùng. Quan trọng hơn, response có thể cho biết skills, MCP servers và custom instructions mà Copilot báo là nguồn cho một comment.

Thông tin này không biến output AI thành bằng chứng đúng tuyệt đối, nhưng tạo audit trail thiết yếu: comment nào đi qua MCP nào, có bị ảnh hưởng bởi instruction nội bộ không, và có cần giữ lại log để điều tra false positive hoặc rò rỉ ngữ cảnh không.

Review overview gọn hơn, feedback rõ hơn

Review overview mới đưa finding lên đầu; review effort và survey chuyển xuống footer. File bị bỏ qua hoặc bị loại vì content-exclusion gom vào một mục “Files not reviewed”, có tên file và lý do. Section rỗng bị ẩn, danh sách dài hiển thị số lượng overflow. Người dùng có thể chọn lý do sau khi bấm đánh giá không hài lòng, như kết luận approval sai, comment dài dòng hoặc finding không chính xác.

AI credits, auto-review và độ tin cậy

Agent session của Copilot code review hiển thị AI credits đã tiêu thụ.
Repository rule tự yêu cầu Copilot review hỗ trợ bypass list; actor được miễn không nhận review tự động.
Balanced effort dùng ba reviewer model, sau đó một model tổng hợp finding.
Review thất bại hoặc timeout được retry tự động một lần; Copilot có thể chuyển sang model đủ điều kiện khác khi model ưu tiên không sẵn sàng.
Review đang chạy khi service update được thêm thời gian hoàn tất.

Việc đội DevSecOps nên làm

Chuẩn hóa policy enterprise, organization và repository; quyết định nơi nào được phép dùng custom instructions, MCP và runner riêng.
Ghi nhận attribution, review effort, AI credits và trạng thái retry vào log/audit pipeline nếu Copilot review tham gia kiểm soát merge.
Rà quyền token: chỉ cấp Administration: write cho automation thực sự thay đổi policy; không dùng classic PAT rộng quyền khi GitHub App hoặc fine-grained PAT phù hợp ở repository level.
Đặt bypass list có owner và kỳ hạn; bypass không nên thành đường né review mặc định.
Giữ human review cho thay đổi nhạy cảm; finding AI là tín hiệu để điều tra, không phải bằng chứng tự động merge hoặc block.

Giới hạn cần biết

Các tính năng này áp dụng cho Copilot Pro, Pro+, Max, Business và Enterprise. Attribution phản ánh dữ liệu Copilot báo về comment, vì vậy governance tốt vẫn cần log độc lập, quy tắc truy cập MCP và kiểm tra định kỳ. Auto-retry tăng availability nhưng không thay thế việc theo dõi chất lượng model hay false positive theo repository.

Phân tích

Điểm quan trọng không nằm ở giao diện review gọn hơn mà ở việc Copilot code review bắt đầu có control plane rõ ràng. Khi AI có thể đọc custom instructions, gọi MCP và ảnh hưởng pull request, enterprise cần quản lý ba lớp cùng lúc: policy ai được bật tính năng nào, identity/token nào được đổi cấu hình, và evidence nào giải thích output. API attribution cùng AI-credit telemetry giúp đo được chi phí và đường đi của nhận xét; nhưng chỉ tạo giá trị khi nối với log retention, least privilege và bước duyệt của người. Đội triển khai sớm nên thử trên một nhóm repository đại diện, đo noise, credit và retry trước khi ép policy toàn tổ chức.