Copilot Code Review : skills, MCP et niveau Medium pour des PR plus utiles

[CrdaN]

Copilot Code Review : skills, MCP et niveau Medium pour des PR plus utiles

GitHub a annoncé le 2 juin 2026 deux nouveautés en preview publique pour Copilot Code Review : l’arrivée des agent skills + MCP dans les reviews, et un nouveau niveau d’analyse Medium pour les pull requests plus complexes.

Source officielle :

Vous devez etre connecte pour voir les liens.

Sur le papier, ça ressemble à une petite évolution Copilot. En pratique, c’est intéressant pour tous ceux qui utilisent GitHub avec Cursor, Codex, Claude Code, Copilot, des bots CI ou des workflows MCP : la review IA devient moins “générique” et peut commencer à comprendre les règles propres à un projet.

Ce qui change​

Jusqu’ici, une review IA avait souvent le même défaut : elle voyait le diff, mais pas toujours le contexte réel du projet. Elle pouvait repérer un bug simple, mais rater une règle métier, une convention interne, un incident connu, une dépendance fragile ou une contrainte de déploiement.

GitHub ajoute donc deux briques :

• Agent skills : des instructions et connaissances placées dans le repo pour guider Copilot Code Review.
• MCP : la possibilité de connecter Copilot à des sources de contexte comme documentation, issue tracker, catalogue de services, outils internes ou plateformes tierces.

L’objectif est simple : éviter que l’IA commente uniquement “ce qu’elle voit dans le diff” et l’aider à vérifier aussi “ce que l’équipe sait déjà”.

Pourquoi c’est utile pour un projet Cheat-Gam3​

Beaucoup de projets communautaires finissent par accumuler des règles implicites : structure des pages, SEO, format des posts, sécurité des clés, scripts de publication, conventions de nommage, gestion des images, bots Discord, API XenForo, tâches cron, etc.

Une IA peut aider, mais seulement si elle connaît ces règles. Sinon elle propose parfois des changements propres en apparence, mais mauvais pour le projet.

Exemples concrets :

• un script fonctionne, mais il affiche accidentellement une clé API dans les logs ;
• une PR modifie un format JSON utilisé par une automation ;
• un changement SEO casse la structure des titres ;
• une fonction “simplifiée” retire une vérification anti-doublon ;
• un bot devient plus bavard, mais moins fiable.

Avec des skills bien écrites et un MCP bien limité, Copilot Code Review peut signaler ce genre de risque plus tôt.

Le niveau Medium : à réserver aux vraies PR sensibles​

GitHub ajoute aussi un niveau d’analyse Medium. D’après l’annonce, ce niveau route les pull requests vers un modèle avec plus de raisonnement pour les changements complexes : logique métier, code sensible sécurité, modifications cross-service, etc.

Important : Medium consomme plus d’AI Credits que Low. Je ne le mettrais donc pas partout.

Mon approche :

• Low pour documentation, petites corrections, typo, CSS simple, scripts non critiques.
• Medium pour auth, paiement, permissions, API, publication, parsing de données, sécurité, migrations, automatisations qui écrivent sur un forum ou un serveur.

La review IA ne remplace pas une vraie review humaine. Elle sert surtout à attraper les oublis et à forcer une deuxième lecture.

Pour voir le contenu, vous devez réagir aux messages avec l'une de ces réactions :

Réagir, Love, Haha, Oula, Triste, Colère

MCP : puissant, mais pas open bar​

Le MCP est utile parce qu’il donne du contexte à l’agent. Mais c’est aussi l’endroit où il faut être strict. Une review IA n’a pas besoin d’avoir accès à tout.

Bonne pratique : connecter uniquement ce qui aide à reviewer.

• Documentation projet : oui.
• Issues publiques ou internes liées au repo : oui, si utile.
• Catalogue de services : oui, si la PR touche plusieurs composants.
• Secrets, variables sensibles, comptes admin, données utilisateurs : non.
• Accès écriture ou déploiement depuis une review : à éviter fortement.

GitHub précise que les configurations MCP se placent côté paramètres du dépôt, et que les tokens requis doivent être stockés dans les secrets/variables agents. C’est logique, mais il faut garder une règle claire : un outil de review doit lire le minimum nécessaire, pas piloter toute l’infra.

Comment je l’utiliserais en pratique​

Pour un petit projet web, bot Discord ou automation forum, je ferais simple :

1. Créer une skill review avec les règles sécurité et qualité du projet.
2. Activer Copilot Code Review en Low par défaut.
3. Mettre Medium uniquement sur les dépôts critiques ou les PR sensibles.
4. Connecter un MCP documentation si le projet a beaucoup de règles internes.
5. Exiger un diff clair + test minimal avant merge.
6. Ne jamais autoriser l’IA à publier, supprimer ou déployer depuis une simple review.

Le vrai gain n’est pas d’avoir “plus d’IA”. Le vrai gain, c’est d’avoir une IA qui rappelle les règles du projet au bon moment.

Pour voir le contenu, vous devez réagir aux messages avec l'une de ces réactions :

Réagir, Love, Haha, Oula, Triste, Colère

À surveiller​

Je vois quand même trois risques :

• Trop de bruit : une review IA mal configurée peut noyer les vraies remarques.
• Trop de confiance : un commentaire Copilot n’est pas une preuve, juste un signal.
• Trop d’accès MCP : donner du contexte, oui ; donner les clés du camion, non.

Donc il vaut mieux commencer petit : une skill propre, peu de connexions, Medium sur quelques repos seulement, puis ajuster selon la qualité des retours.

Conclusion​

Cette mise à jour de Copilot Code Review va dans le bon sens : moins de review générique, plus de contexte projet, et un niveau Medium pour les PR qui méritent une analyse plus profonde.

Pour Cheat-Gam3, c’est typiquement le genre de workflow utile pour coder plus vite sans perdre le contrôle : l’IA aide à relire, rappelle les règles, détecte des oublis, mais l’humain garde la décision finale. Si vous avez un repo GitHub actif, je commencerais par une skill `code-review` très simple avant de brancher des MCP partout.