CodeQL 2.26.0 공개, AI 프롬프트 인젝션도 코드 스캔한다

무엇이 새로 들어왔나

GitHub는 7월 10일 공식 Changelog에서 CodeQL 2.26.0을 공개했습니다. CodeQL은 GitHub code scanning 뒤에서 코드의 보안 문제를 찾아주는 정적 분석 엔진입니다.

이번 업데이트에는 Kotlin 2.4.0 지원, C#·Go·Python·Swift·GitHub Actions 쿼리 개선이 함께 들어갔습니다. 하지만 AI 독자에게 가장 중요한 변화는 JavaScript/TypeScript에서 system prompt injection을 탐지하는 쿼리가 추가됐다는 점입니다.

프롬프트 인젝션을 코드 스캔한다는 뜻

GitHub 설명에 따르면 새 js/system-prompt-injection 쿼리는 신뢰할 수 없는 사용자 제공 값이 AI 모델의 시스템 프롬프트로 흘러 들어가는 경우를 찾습니다. 공격자가 그 흐름을 이용하면 모델의 행동을 바꾸도록 유도할 수 있습니다.

쉽게 말하면, 사용자가 입력한 문장이 단순 질문으로 끝나지 않고 AI의 “운영 규칙” 가까이 섞이는지 보는 검사입니다. 프롬프트가 화면 문구가 아니라 보안 경계가 되는 순간을 코드 분석 도구가 추적하기 시작한 셈입니다.

OpenAI·Anthropic·Google SDK까지 왜 언급됐나

이번 Changelog는 JavaScript/TypeScript 쪽에서 OpenAI, Anthropic, Google GenAI SDK API에 대한 prompt injection sink도 추가됐다고 설명합니다. 예로 Sora prompts, OpenAI Realtime session instructions, Anthropic legacy completion prompts, Google GenAI cached content와 system instructions가 언급됐습니다.

이 대목이 중요한 이유는 AI 앱이 이제 하나의 모델 호출로 끝나지 않기 때문입니다. 음성 세션, 캐시된 콘텐츠, 시스템 지시문, 여러 회사 SDK가 섞이면 어디에서 사용자 입력이 규칙 영역으로 넘어가는지 추적하기 어려워집니다. CodeQL이 이 경로를 쿼리로 다루기 시작했다는 것은 개발자 도구가 AI 앱 구조를 실제 보안 대상으로 보기 시작했다는 의미입니다.

개발자가 바로 봐야 할 부분

AI 앱을 만드는 팀은 이번 업데이트를 단순 버전 업으로만 볼 필요가 없습니다. 사용자 입력이 system prompt, session instruction, tool instruction, cached content로 들어가는 경로를 코드 리뷰에서 분리해 봐야 합니다. 또한 자동 스캔 결과가 나오더라도 실제 위험도는 앱의 권한, 도구 실행 범위, 로그, 사용자 데이터 접근 범위와 함께 판단해야 합니다.

특히 에이전트형 앱은 모델이 외부 도구를 호출하거나 파일을 읽는 경우가 많습니다. 이때 프롬프트 인젝션은 “말을 이상하게 하는 문제”를 넘어 도구 권한과 데이터 접근을 흔드는 보안 문제가 될 수 있습니다.

Game Sunakku식 정리

이번 CodeQL 2.26.0은 대형 모델 발표처럼 화려한 소식은 아닙니다. 하지만 실무적으로는 꽤 중요합니다. AI 기능을 앱에 붙이는 흐름이 넓어질수록, 프롬프트와 SDK 호출도 기존 코드 취약점처럼 검사하고 기록해야 하기 때문입니다.

정리하면, AI 보안의 다음 단계는 “모델을 조심해서 쓰자”가 아니라 “코드 안에서 프롬프트 흐름을 추적하자”에 가까워지고 있습니다. GitHub code scanning을 쓰는 팀이라면 CodeQL 2.26.0의 AI 관련 쿼리를 업데이트 체크리스트에 넣어볼 만합니다.