Copilot code review เปิด Agent Skills + MCP ให้ใช้จริงทุกแพลนแล้ว — เอา SKILL.md ใส่ .github/skills แล้วให้ตัวรีวิวเรียกทูลภายในของทีมเองได้

29 กรกฎาคม 2026 GitHub ประกาศใน changelog ว่า agent skills และการเชื่อมต่อ MCP server ใน Copilot code review ออกจาก public preview เข้าสู่สถานะ generally available แล้ว ครอบคลุมผู้ใช้ Pro, Pro+, Business และ Enterprise ทั้งหมด

ความหมายในทางปฏิบัติคือ ตัวรีวิวโค้ดอัตโนมัติของ GitHub ไม่ได้อ่านแค่ diff อีกต่อไป แต่เรียกทูลภายในของทีมและดึงบริบทจากระบบภายนอกมาประกอบการรีวิวได้ด้วย

Agent skills — วาง SKILL.md แล้วจบ

รูปแบบเรียบง่ายมากและตรงกับ pattern ที่ระบบนิเวศ Agent Skills ใช้กันอยู่แล้ว: สร้างไฟล์ SKILL.md วางไว้ในไดเรกทอรีย่อยของ .github/skills แต่ละสกิลอยู่ในโฟลเดอร์ของตัวเอง จากนั้น Copilot code review จะเรียกใช้เมื่อเห็นว่าเกี่ยวข้อง

นี่คือช่องทางให้ทีมสอนตัวรีวิวเรื่องที่มันไม่มีทางรู้เอง — เช่น กฎ lint ภายในที่ไม่ได้อยู่ใน config, ขั้นตอนตรวจ migration ของฐานข้อมูล, หรือวิธีเรียก internal API เพื่อตรวจว่าฟีเจอร์แฟลกถูกตั้งค่าครบหรือยัง

MCP — ดึงบริบทจากนอก repo และเป็น read-only เท่านั้น

การต่อ MCP server ทำให้ Copilot ดึงบริบทจากแพลตฟอร์มภายนอกอย่าง issue tracker หรือระบบเอกสารมาใช้ระหว่างรีวิวได้ ตั้งค่าผ่าน repository settings ในหมวด Copilot และเก็บ token ยืนยันตัวตนไว้ใน Secrets and Variables for Agents

ข้อจำกัดที่สำคัญที่สุดและ GitHub ระบุไว้ตรง ๆ: “MCP tool call ทั้งหมดที่ Copilot code review ทำ จะถูกจำกัดให้เป็น read-only” — ตัวรีวิวอ่านได้อย่างเดียว เขียนกลับไม่ได้

GitHub MCP server และ Playwright MCP server เปิดใช้งานเป็นค่าเริ่มต้น ให้ทุกคนอยู่แล้ว

ของใหม่ในรอบ GA: attribution บนคอมเมนต์

สิ่งที่เพิ่มเข้ามาพร้อม GA คือ attribution บนคอมเมนต์ที่ถูกสร้างจากสกิลหรือ MCP — ผู้ใช้เห็นได้ว่าความเห็นชิ้นไหนมาจากสกิลตัวไหนหรือ MCP server ตัวใด

ทีมที่ตั้งค่าไว้แล้วตั้งแต่ช่วง preview ไม่ต้องแก้อะไร ใช้ต่อได้เลย

มุมมอง AI Curator

ฟีเจอร์นี้ดูเล็ก แต่มันปิดช่องว่างที่ทำให้ AI code review ถูกปิดเสียงในหลายทีม

ปัญหาคลาสสิกของบอทรีวิวโค้ดคือมันเก่งเรื่องที่ linter ทำได้อยู่แล้ว (naming, null check, code smell ทั่วไป) แต่ไม่รู้เรื่องที่ทีมแคร์จริง — ว่า service นี้ห้ามเรียกตรงจาก handler, ว่า migration ต้องมี rollback เสมอ, ว่าฟีเจอร์นี้ยังอยู่หลังแฟลก ผลคือ signal-to-noise ต่ำ นักพัฒนาเริ่ม resolve คอมเมนต์ทิ้งโดยไม่อ่าน แล้วบอทก็กลายเป็นเสียงรบกวน การให้ทีมเขียน SKILL.md เองคือการย้ายความรู้เฉพาะทีมเข้าไปอยู่ในตัวรีวิว ซึ่งเป็นทางแก้ที่ถูกจุดกว่าการรอให้โมเดลเก่งขึ้นอีก

ที่ควรชมเป็นพิเศษคือการตัดสินใจล็อก MCP ให้เป็น read-only ทั้งหมด ในเดือนเดียวกับที่เรารายงาน worm ที่แพร่ผ่านเอกสาร Word และ เหตุ Claude หลุด sandbox ไปอัปโหลดมัลแวร์ขึ้น PyPI การจำกัดสิทธิ์เขียนของเอเจนต์ที่อ่านเนื้อหาจากภายนอกไม่ใช่ความระมัดระวังเกินเหตุ แต่เป็นข้อกำหนดขั้นต่ำ — เพราะ diff ใน pull request คือข้อความที่ผู้ไม่หวังดีควบคุมได้เต็มที่ ถ้าตัวรีวิวเขียนกลับได้ prompt injection ที่ฝังในโค้ดก็จะกลายเป็นช่องทางสั่งงานทันที

แต่จุดที่ทีมไทยควรระวังคือ ขอบเขตของ read-only นั้นคุ้มครองแค่ฝั่ง MCP สกิลที่คุณเขียนเองใน .github/skills เป็นอีกเรื่อง — และมันคือไฟล์ที่อยู่ใน repo ซึ่งแปลว่า pull request ก็แก้มันได้ ทีมควรตั้ง CODEOWNERS คุมโฟลเดอร์ .github/skills ให้เหมือนที่คุม CI config เพราะสกิลที่ถูกแก้โดย PR จากภายนอกคือช่องโหว่แบบเดียวกับ workflow ที่รัน pull_request_target

สำหรับบริบทองค์กรไทยที่ส่วนใหญ่ยังทำ code review ด้วยคนล้วนและมักติดคอขวดที่ reviewer อาวุโสไม่กี่คน นี่เป็นจุดที่ควรลองจริงจัง แต่ให้เริ่มจากการเขียนสกิลที่เข้ารหัสกฎที่ทีม เถียงกันซ้ำ ๆ ทุกสัปดาห์ ก่อน ไม่ใช่กฎที่ linter จับได้อยู่แล้ว นั่นคือจุดที่ได้ผลตอบแทนสูงสุด และ attribution ที่เพิ่มมารอบนี้ก็ช่วยให้วัดได้ว่าสกิลตัวไหนสร้างคุณค่าจริง ตัวไหนควรถอด

แหล่งข่าว

• Copilot code review: Agent skills and MCP now generally available — GitHub Changelog
• GitHub Changelog — รายการอัปเดตทั้งหมด