GitHub 코드 스캔, PR에서 AI 보안 탐지까지 보여준다

무엇이 새로 들어왔나

GitHub는 7월 14일 공식 Changelog에서 code scanning이 pull request 안에 AI-powered security detections를 보여주기 시작한다고 밝혔습니다. 기능은 github.com의 public preview이며, GitHub Code Security, 즉 GitHub Advanced Security 고객을 대상으로 합니다.

기존 code scanning은 CodeQL 같은 정적 분석 결과를 바탕으로 취약점을 찾아주는 흐름이었습니다. 이번 발표의 차이는 AI 탐지 엔진이 찾은 보안 의심 지점도 PR 화면에 함께 올린다는 점입니다. GitHub는 이 결과에 AI 라벨을 붙여 CodeQL 결과와 구분할 수 있게 한다고 설명했습니다.

CodeQL을 대체한다는 뜻은 아니다

이번 기능은 CodeQL을 없애는 발표가 아닙니다. GitHub 설명에 따르면 AI security detections를 쓰려면 엔터프라이즈 정책에서 허용되어야 하고, 조직 단위에서 활성화해야 하며, 해당 저장소에는 CodeQL default analysis가 켜져 있어야 합니다.

쉽게 말하면 CodeQL은 여전히 기본 뼈대이고, AI 탐지는 그 옆에서 사각지대를 줄이는 보조 탐지층에 가깝습니다. GitHub도 CodeQL이 직접 지원하지 않는 언어와 프레임워크까지 탐지 범위를 넓히는 것을 주요 장점으로 설명했습니다.

PR에서 바로 보인다는 점이 중요한 이유

보안 탐지가 별도 대시보드에만 남으면 개발자는 나중에야 확인하는 경우가 많습니다. 이번 기능은 pull request가 열리거나 업데이트될 때 AI 탐지가 실행되고, 결과가 돌아오는 대로 PR에 표시됩니다. GitHub는 모든 분석이 끝날 때까지 기다릴 필요는 없다고 설명했습니다.

이 흐름은 개발팀 입장에서는 꽤 실용적입니다. 코드가 main 브랜치에 들어가기 전에 “이 변경분에서 보안상 수상한 부분이 있다”는 신호를 받을 수 있기 때문입니다. 특히 CodeQL 기본 지원 범위 밖의 코드가 많은 팀이라면, 완벽한 정답은 아니더라도 검토 시작점이 늘어나는 효과가 있습니다.

주의할 점도 분명하다

GitHub는 이번 AI 탐지 결과가 informational 성격이며, PR 병합을 자동으로 막지는 않는다고 밝혔습니다. 이는 장점이기도 하고 한계이기도 합니다. 자동 차단 때문에 개발이 멈추는 위험은 줄지만, 발견된 항목을 실제로 고칠지는 팀의 리뷰 문화와 정책에 달려 있습니다.

또한 public preview 기간에는 GitHub Copilot 라이선스가 필요하고, 탐지가 실행될 때 조직의 AI credits를 사용합니다. 따라서 “AI가 보안을 더 봐준다”는 문장만 보고 켜기보다, 어떤 저장소에 먼저 적용할지, 오탐 처리와 사용량 모니터링은 어떻게 할지 정해야 합니다.

Game Sunakku식 정리

이번 발표는 전날 CodeQL 2.26.0의 프롬프트 인젝션 탐지와 이어지는 흐름으로 볼 수 있습니다. AI 시대의 보안 도구는 단순히 취약점 이름을 늘리는 데서 끝나지 않고, 개발자가 실제로 코드를 합치는 PR 화면까지 AI 검토를 밀어 넣는 방향으로 움직이고 있습니다.

정리하면, GitHub의 새 code scanning 기능은 “AI가 코드를 대신 고쳐준다”보다 AI가 보안 리뷰의 초기 신호를 더 넓게 던져준다에 가깝습니다. 개발자는 이를 자동 판정기로 보기보다, CodeQL·사람 리뷰·조직 정책 사이에 놓인 새 보조 레이어로 이해하는 편이 안전합니다.