GitHub セキュリティアドバイザリーの機密コメントとは？見える範囲・投稿方法・API 対応を一次情報で解説（2026年10月2日発表）

AI開発ツールアップデート料金改定GitHubセキュリティ

GitHub が 2026年10月2日に発表したのは、リポジトリのセキュリティアドバイザリーに「機密コメント」（confidential comments）を投稿できる機能追加です。閲覧できるのはリポジトリへの書き込み権限を持つ人だけで、レポーターや書き込み権限のない招待コラボレーターには表示されません。投稿方法・見える範囲・API 対応を一次情報で整理します。

結論から言うと、2026年10月2日に発表されたのは、GitHub のリポジトリのセキュリティアドバイザリー（repository security advisory）に「機密コメント」（confidential comments）を投稿できるようになった機能追加です。機密コメントを閲覧できるのはリポジトリへの書き込み権限を持つ人だけで、レポーターや書き込み権限のない招待コラボレーターには表示されず、通知も届きません。利用条件はプライベート脆弱性報告（private vulnerability reporting）が有効化された公開リポジトリで、GitHub Free、Pro、Team、Enterprise Cloud の各プランで使えます。以下、投稿方法・見える範囲・API 対応を一次情報の出典付きで解説します。

本稿で扱うのは、GitHub Blog Changelog の「Confidential comments on repository security advisories」という発表です。本文中の値はすべて出典付きで、取得日は 2026年10月5日です。

機密コメントとは何か・投稿方法

リポジトリのセキュリティアドバイザリーに、レポーターや書き込み権限のない招待コラボレーターには見えない「機密コメント」（confidential comments）を投稿できるようになりました（出典: GitHub Blog Changelog「Confidential comments on repository security advisories」2026年10月2日発表、取得日 2026年10月5日）。

従来の課題として、発表は、アドバイザリー上の全コメントがレポーターや招待コラボレーターを含めて全員に見え、内部での議論は別ツールに移すしかなかったことを挙げています（出典: 同、取得日 2026年10月5日）。脆弱性の報告を受けたリポジトリ側が、報告者に見せずに調整や内部検証を進めたい場面での議論を、アドバイザリーの中に留められるようになります。

• 投稿方法: コメント欄の下で「Confidential. Only maintainers will see this comment」を選択してから投稿します（出典: 同）。
• タイムライン上では、機密コメントには明確に印が付きます（出典: 同）。

機密コメントの見える範囲（誰に表示されるか）

機密コメントを閲覧できるのはリポジトリへの書き込み権限を持つ人だけで、レポーターや書き込み権限のない招待コラボレーターには表示されず、通知も届きません（出典: GitHub Blog Changelog 2026年10月2日、取得日 2026年10月5日）。

「誰に見えるか」の動的な面として、次の 2 点が発表に含まれています（出典: 同、取得日 2026年10月5日）。

• 権限は現在のリポジトリ権限に追従します。書き込み権限を失うと、機密コメントも読めなくなります（出典: 同）。
• 機密コメントの閲覧は監査ログ（audit log）に記録されます（出典: 同）。

つまり、見える範囲は「投稿した時点の参加者」で固定されるのではなく、その時点のリポジトリ権限で決まります。コラボレーターの追加・削除や権限変更が機密コメントの閲覧可否にそのまま効くため、運用では権限管理とセットで扱うことになります。

利用条件と既存仕様の制限

機密コメントを利用できるのは、プライベート脆弱性報告（private vulnerability reporting）が有効化された公開リポジトリで、プランは GitHub Free、Pro、Team、Enterprise Cloud です（出典: GitHub Blog Changelog 2026年10月2日、取得日 2026年10月5日）。

既存仕様との関係で、次の 2 点の制限が発表に明記されています（出典: 同、取得日 2026年10月5日）。

• 投稿後に、通常コメントと機密コメントを相互に切り替えることはできません（出典: 同）。
• GraphQL API では機密コメントを利用できますが、REST API では返されません（出典: 同）。

投稿前に「機密」と「通常」のどちらで書くかを決める必要があり、後からの付け替えはできない点は、運用時の注意点として押さえておくべき仕様です（出典: 同）。

同日の関連発表: セキュリティアドバイザリーのコメント REST API がパブリックプレビュー

同じ 2026年10月2日に、リポジトリセキュリティアドバイザリーのコメントを読み取り・追加・編集できる REST API がパブリックプレビューになりました（出典: GitHub Blog Changelog「Repository security advisory comments API in public preview」2026年10月2日、取得日 2026年10月5日）。

提供される操作は、一覧取得（更新時刻で絞り込み可）・単一取得・追加・編集の 4 種で、アドバイザリーのレスポンスに comments のカウントが含まれるようになりました（出典: 同、取得日 2026年10月5日）。カウントは機密扱いでないコメントのみを数えます。アクセスはアドバイザリー本体と同じルールで、コメントの削除は API ではまだ非対応です。この REST API でも機密コメントは返されません。

つまり、API 経由でアドバイザリーのコメントを扱えるようになった一方で、機密コメントは GraphQL API からのみ利用でき、REST API のレスポンスには含まれないという組み合わせです（出典: 同、取得日 2026年10月5日）。

関連: GitHub Advanced Security のチームトライアル（既存記事）

よくある質問

Q. GitHub セキュリティアドバイザリーの機密コメントとは何ですか？

リポジトリのセキュリティアドバイザリーに投稿できる、リポジトリへの書き込み権限を持つ人だけが閲覧できるコメントです。レポーターや書き込み権限のない招待コラボレーターには表示されず、通知も届きません。コメント欄の下で「Confidential. Only maintainers will see this comment」を選択して投稿します（出典: GitHub Blog Changelog 2026年10月2日、取得日 2026年10月5日）。

Q. 機密コメントの見える範囲は？レポーターにも見えますか？

見えません。閲覧できるのはリポジトリへの書き込み権限を持つ人だけで、レポーターや書き込み権限のない招待コラボレーターには表示されず、通知も届きません。権限は現在のリポジトリ権限に追従し、書き込み権限を失うと読めなくなります。閲覧は監査ログに記録されます（出典: 同、取得日 2026年10月5日）。

Q. セキュリティアドバイザリーのコメントを API で扱えますか？

REST API がパブリックプレビューになりました（2026年10月2日発表）。一覧取得（更新時刻で絞り込み可）・単一取得・追加・編集の操作を提供し、レスポンスに comments のカウント（機密扱いでないコメントのみ）が含まれます。アクセスはアドバイザリー本体と同じルールで、コメント削除は API ではまだ非対応です。機密コメントは REST API では返されず、GraphQL API でのみ利用できます（出典: GitHub Blog Changelog、取得日 2026年10月5日）。

Q. 機密コメントはどのリポジトリ・プランで使えますか？

プライベート脆弱性報告（private vulnerability reporting）が有効化された公開リポジトリで使えます。プランは GitHub Free、Pro、Team、Enterprise Cloud です（出典: GitHub Blog Changelog 2026年10月2日、取得日 2026年10月5日）。

AI開発ツール速報（当サイト）は、GitHub・npm・Cursor・VS Code など開発ツールの仕様変更や機能追加を、公式発表への出典付きで最速でお届けする速報メディアです。セキュリティアドバイザリーまわりの機能は脆弱性対応の運用に直結するため、今後の更新も当サイトの一覧で確認できます。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針