GitHub Copilot CLI、GitHub Actions内でPAT不要のGITHUB_TOKEN認証に対応

Copilot CLI no longer needs a personal access token in GitHub Actions

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

GitHubは2026年7月2日、Copilot CLIをGitHub Actions上で組み込みのGITHUB_TOKENだけで認証できるようにしたと発表した。

これまで必要だった個人アクセストークン(PAT)を発行・管理する必要がなくなる。

組織の「Copilot CLI」ポリシーが有効なら追加設定なしで使え、利用料は組織に直接課金される。

長期間有効なPATをシークレットに置きっぱなしにしたままCIへAI CLIを組み込んでいたチームほど恩恵が大きい変更だ。

利用料が組織へ直接課金される仕組みに変わるため、コストセンターの設定や利用状況の監視方法をあらかじめ決めておいたほうがよい。

PATを持たなくてよくなる

2026年7月2日、GitHub Copilot CLIがGitHub Actionsのワークフロー内で、組み込みのGITHUB_TOKENだけを使って認証できるようになった。ワークフローにcopilot-requests: write権限を付与するだけでよく、これまで必要だった個人アクセストークン(PAT)の発行やシークレットとしての保管が不要になる。

具体的に何が変わるのか

PATは通常、有効期限を長めに設定して発行されることが多く、リポジトリやOrganizationのシークレットに保管したまま数ヶ月から1年単位で使い回されるケースが珍しくない。対してGITHUB_TOKENはジョブの実行時間内でしか有効でない使い捨てトークンで、ワークフローが終了すれば自動的に失効する。仮にログ出力のミスなどでトークンが漏れても、悪用できる時間の窓は数分から数時間程度に限定される。この差は、漏えい時の被害範囲を数ヶ月単位から数時間単位に縮めるという意味で実務上小さくない。

課金と運用の注意点

利用には「Allow use of Copilot CLI billed to the organization」ポリシーの有効化が必要で、既存の「Copilot CLI」ポリシーが有効な組織では初期状態でオンになっている。消費したAIクレジットは個人ではなく組織に直接課金されるため、コストセンターの設定や利用状況ダッシュボードでの監視を事前に決めておいた方がよい。長期PATをシークレットに置きっぱなしにする運用は多くのチームで「わかっているが直せていない」負債になりがちなので、標準機能側でこうした選択肢が用意されるのは歓迎できる変更だ。適用条件の詳細はGitHub Changelog(https://github.blog/changelog/2026-07-02-copilot-cli-no-longer-needs-a-personal-access-token-in-github-actions/)に書かれている。