code-scanning

당신의 코드는 얼마나 노출되어 있나요? 단 몇 분 만에 무료로 확인해 보세요 (새 탭에서 열림)

대부분의 코드베이스에는 아직 발견되지 않은 보안 취약점이 존재하며, 수동 검토나 제한적인 도구만으로는 이를 파악하기 어렵다. GitHub는 조직의 활성 저장소를 몇 분 안에 점검하는 무료 **Code Security Risk Assessment**를 공개했다. 이 assessment는 CodeQL로 취약점을 찾고, 위험도와 언어·저장소별 분포, Copilot Autofix 적용 가능성까지 보여줘 보안 대응 우선순위를 정하도록 돕는다. ## Code Security Risk Assessment의 기능 - GitHub의 정적 분석 엔진인 **CodeQL**을 사용해 조직에서 가장 활발한 저장소 최대 20개를 검사한다. - 별도 라이선스 구매나 설정 없이 원클릭으로 실행할 수 있다. - 다음 정보를 대시보드로 제공한다. - 전체 취약점 수와 심각도별 분류: Critical, High, Medium, Low - 프로그래밍 언어별 취약점 분포 - 발견된 보안 규칙과 해당 규칙의 영향 저장소 수 - 취약점이 가장 많은 저장소 - Copilot Autofix로 자동 수정할 수 있는 취약점 수 - GitHub Enterprise Cloud 및 GitHub Team 플랜의 조직 관리자와 보안 관리자가 사용할 수 있다. - 스캔에 사용된 GitHub Actions 실행 시간은 사용량 할당량에서 차감되지 않는다. ## 시크릿과 코드 취약점을 함께 파악 - 기존의 **Secret Risk Assessment**는 저장소에 노출된 인증 정보와 자격 증명을 파악하는 기능이다. - Code Security Risk Assessment는 소스 코드 자체의 취약점을 분석한다. - 두 assessment는 하나의 진입점과 탭 기반 화면에서 함께 실행할 수 있다. - 이를 통해 조직은 다음 두 가지 위험을 통합적으로 확인할 수 있다. - 유출된 시크릿 및 자격 증명 - 애플리케이션 코드의 보안 취약점 - GitHub는 2025년에 Secret Protection 사용 고객들이 약 20억 건의 push를 검사하고, 약 1,900만 건의 시크릿 노출을 차단했다고 설명한다. ## 취약점 발견에서 수정까지 - 취약점을 찾는 것만으로는 충분하지 않으며, 실제 수정 속도가 위험 감소에 중요하다. - GitHub Code Security와 Copilot Autofix는 개발자가 작업하는 pull request 안에서 취약점을 수정하도록 지원한다. - GitHub가 제시한 2025년 수치는 다음과 같다. - Copilot Autofix로 수정된 보안 경고: **460,258건** - pull request에서 직접 해결된 취약점 경고: **50%** - 평균 해결 시간: - Copilot Autofix 사용: **0.66시간** - 수동 수정: **1.29시간** - assessment 결과에서 Copilot Autofix를 적용할 수 있는 취약점 수를 확인하고, 결과 화면에서 GitHub Code Security를 바로 활성화할 수 있다. ## 어떤 조직에 유용한가 - 보안 스캔을 아직 도입하지 않은 조직이 현재 위험 수준을 빠르게 파악할 수 있다. - 기존 보안 도구를 사용하는 조직도 다른 관점에서 코드베이스 전체를 점검할 수 있다. - 여러 팀과 언어로 구성된 조직에서 취약점이 집중된 저장소와 기술 영역을 식별하는 데 유용하다. - 평가 결과를 바탕으로 어떤 제품이나 보안 기능을 도입할지 판단할 수 있다. - Secret Protection: 자격 증명 유출 방지 - Code Security: 코드 취약점 탐지 및 수정 우선 무료 assessment를 실행해 조직의 취약점 분포와 우선순위를 확인하는 것이 좋다. 이후 반복적인 스캔과 pull request 기반 수정 프로세스를 도입하면 일회성 점검을 지속적인 보안 관리로 발전시킬 수 있다.

깃허브, AI 기반 탐지 기능으로 애플리케이션 보안 범위 확장 (새 탭에서 열림)

GitHub는 AI 기반 보안 탐지를 도입해 CodeQL만으로는 충분히 다루기 어려운 언어와 프레임워크까지 애플리케이션 보안 범위를 확장한다. 이 기능은 풀 리퀘스트에서 취약점을 탐지하고 Copilot Autofix로 수정안까지 제안해, 코드 병합 전에 위험을 발견·해결하는 것을 목표로 한다. 공개 프리뷰는 2026년 2분기 초에 제공될 예정이다. ## CodeQL과 AI 탐지를 결합한 보안 검사 - CodeQL은 지원 언어에 대해 깊은 의미 분석을 제공하는 기존 정적 분석 엔진이다. - 현대 저장소에는 Shell/Bash 스크립트, Dockerfile, Terraform(HCL), PHP 등 다양한 생태계의 코드가 함께 포함된다. - GitHub는 CodeQL과 AI 기반 탐지를 결합한 하이브리드 모델로 이러한 영역까지 보안 검사 범위를 넓힌다. - AI 탐지는 전통적인 정적 분석으로 지원하기 어려운 코드에서 잠재적 취약점과 수정 제안을 찾아낸다. - 내부 테스트에서 30일 동안 17만 건 이상의 결과를 처리했으며, 개발자 긍정 피드백 비율은 80%를 넘었다. - 이 기능은 보안·코드 품질·코드 리뷰를 지원하는 GitHub의 에이전트형 탐지 플랫폼을 기반으로 한다. ## 풀 리퀘스트에서 취약점 조기 발견 - 풀 리퀘스트가 생성되면 GitHub Code Security가 변경 사항에 적합한 방식을 자동으로 선택해 분석한다. - 지원 언어에는 CodeQL 정적 분석을 사용한다. - 추가 생태계에는 AI 기반 보안 탐지를 적용한다. - 결과는 기존 코드 스캐닝 결과와 함께 풀 리퀘스트 안에 표시된다. - 탐지 대상에는 다음과 같은 문제가 포함된다. - 안전하지 않은 문자열 결합 방식의 SQL 쿼리나 명령어 - 취약한 암호화 알고리즘 - 민감한 리소스를 노출하는 인프라 구성 - 개발자는 별도 보안 도구로 이동하지 않고 코드 리뷰 과정에서 위험을 확인할 수 있다. ## Copilot Autofix를 통한 수정 자동화 - 취약점을 찾는 것뿐 아니라 빠르고 안전하게 수정하는 것도 보안 운영의 핵심이다. - Copilot Autofix는 탐지 결과를 바탕으로 개발자가 검토·테스트·적용할 수 있는 수정안을 제안한다. - 2025년 Autofix는 46만 건 이상의 보안 경고 해결에 사용됐다. - Autofix를 사용한 경우 평균 해결 시간은 0.66시간으로, 사용하지 않은 경우의 1.29시간보다 짧았다. - 탐지와 자동 수정 제안을 연결해 취약점 발견부터 해결까지의 시간을 줄인다. ## 병합 시점의 보안 정책 적용 - GitHub는 코드가 검토되고 승인되는 병합 지점에서 보안 결과를 통제할 수 있도록 한다. - 보안 탐지, 수정 제안, 정책 집행을 풀 리퀘스트에 통합하면 배포 이후가 아니라 병합 전에 위험을 차단할 수 있다. - 팀은 개발자가 기존 워크플로를 벗어나지 않으면서 보안 기준을 적용할 수 있다. - 장기적으로는 정적 분석의 정확성과 AI의 맥락 이해를 결합한 더 발전된 탐지 체계로 확장될 예정이다. 실무에서는 CodeQL이 지원하는 핵심 언어뿐 아니라 Shell, Docker, Terraform, PHP 등을 사용하는 저장소에도 해당 기능을 검토할 만하다. 다만 AI가 제안한 수정안은 반드시 개발자가 코드 의도와 테스트 결과를 확인한 뒤 병합하는 것이 좋다.

오픈 소스를 만들어가는 사람들에게 투자하고 함께 미래를 준비하기 (새 탭에서 열림)

오픈소스 보안은 코드와 도구만이 아니라 이를 유지하는 사람에 대한 투자에서 출발한다. GitHub는 AI로 취약점과 보안 보고서가 급증하는 상황에서 메인테이너의 부담을 줄이기 위해 자금, 교육, 보안 도구, AI 기능을 함께 강화하겠다고 밝혔다. 이를 통해 메인테이너가 지속 가능하게 프로젝트를 관리하고, 소프트웨어 공급망 전반의 보안을 높이는 것이 목표다. ## 메인테이너가 직면한 부담 - 메인테이너는 풀 리퀘스트 검토, 보안 신고 대응, 릴리스 관리 등을 자원봉사 또는 제한된 시간 안에 수행한다. - 소규모 프로젝트가 갑자기 핵심 인프라로 사용되면서 유지보수 책임이 개인에게 집중될 수 있다. - 늦은 시간까지 이어지는 업무와 경제적 보상 부족은 번아웃으로 이어진다. - AI의 확산으로 자동 생성된 풀 리퀘스트와 보안 신고가 급증하면서 신뢰할 수 있는 문제와 단순한 노이즈를 구분하기 어려워졌다. ## 오픈소스 보안을 위한 공동 투자 - GitHub는 Anthropic, AWS, Google, OpenAI와 함께 Linux Foundation의 **Alpha-Omega** 이니셔티브에 총 1,250만 달러를 지원한다. - 지원 목적은 다음과 같다. - AI 기반 보안 기능을 메인테이너의 기존 작업 흐름에 통합 - 핵심 오픈소스 프로젝트의 보안 강화 - 메인테이너가 새로운 보안 위협에 대응할 수 있도록 교육과 실용적 도구 제공 - GitHub는 28만 명 이상의 메인테이너에게 다음 기능을 무료로 제공하고 있다. - GitHub Copilot Pro - GitHub Actions - 코드 스캐닝 및 Autofix - 시크릿 스캐닝과 푸시 보호 - 의존성 알림 ## GitHub Secure Open Source Fund 확대 - **GitHub Secure Open Source Fund**에 550만 달러 규모의 Azure 크레딧과 재원을 추가한다. - 지원 항목은 다음과 같다. - 보안 교육과 전문 지식 - 프로젝트 간 협력과 커뮤니티 형성 - Datadog, Open WebUI, Atlantic Council, OWASP 등 새로운 파트너십 - 기존 프로그램에서는 38개국 200명 이상의 메인테이너가 참여한 138개 프로젝트를 지원했다. - 그 결과 다음과 같은 보안 성과가 발생했다. - 새로운 CVE 191건 등록 - 유출 전 차단된 시크릿 250건 이상 - 발견 및 해결된 유출 시크릿 600건 이상 - 월간 수십억 회 다운로드되는 프로젝트에 영향 - 단순한 자금 지원보다 보안 개선이라는 구체적 목표와 실습, 교육, 전문가 지원을 결합할 때 효과가 크다는 교훈을 얻었다. ## 보안 신고와 취약점 대응 개선 - GitHub Security Lab은 보안 권고 경험과 **Private Vulnerability Reporting(PVR)** 기능에 투자한다. - 목표는 품질이 낮은 신고를 줄이고, 메인테이너가 늘어나는 보안 보고서를 더 효율적으로 관리하도록 돕는 것이다. - GitHub는 보안 연구와 교육을 통해 일반적인 위협에 대한 대응력을 오픈소스 커뮤니티 전체로 확산시키고 있다. - 보안 도구가 메인테이너의 실제 작업 흐름에 자연스럽게 결합되어야 한다고 강조한다. ## AI를 메인테이너의 부담 완화에 활용 - AI는 방어 측과 공격 측 모두의 취약점 발견 속도와 규모를 크게 높이고 있다. - 따라서 메인테이너는 더 많은 취약점을 찾는 것뿐 아니라 다음 작업을 빠르게 수행해야 한다. - 보안 신고 우선순위 지정 - 실제 위험과 노이즈 구분 - 취약점의 원인 이해 - 수정 코드 작성 및 검증 - GitHub는 AI가 추가적인 압박이 아니라 생산성 향상을 위한 도구가 되어야 한다고 설명한다. - 이를 위해 다음 영역에 AI를 적용할 계획이다. - 이슈 분류 - 풀 리퀘스트 검토 - 취약점 식별 - 보안 취약점 자동 수정 - 메인테이너에게 제공되는 Copilot Pro에는 AI 지원 코드 리뷰, 에이전트 기반 보안 수정 워크플로, 다양한 모델 활용 기능이 포함된다. - GitHub는 보안 연구용 AI 프레임워크도 오픈소스로 공개해 특정 보안 조직뿐 아니라 메인테이너가 직접 활용할 수 있도록 했다. ## 지속 가능한 보안 생태계 - 메인테이너에게 시간, 전문성, 자금, 적절한 도구를 제공하면 프로젝트 보안이 개선되고 그 효과가 downstream 사용자와 다른 프로젝트로 확산된다. - 이는 메인테이너 지원 → 보안 개선 → 생태계 전체의 신뢰 향상 → 더 많은 참여와 지원으로 이어지는 선순환 구조를 만든다. - AI 시대의 오픈소스 보안은 자동화만으로 해결되지 않으며, 사람의 판단과 지속 가능한 유지보수가 함께 필요하다. 오픈소스 프로젝트를 운영한다면 보안 기능을 일회성으로 적용하기보다 코드 스캐닝, 시크릿 보호, 의존성 관리, 비공개 취약점 신고를 정기적인 유지보수 과정에 포함하는 것이 좋다. 동시에 AI 도구는 신고와 수정 작업을 줄이는 보조 수단으로 활용하되, 최종 판단은 메인테이너가 직접 검증해야 한다.

GitHub Copilot 코딩 에 (새 탭에서 열림)

GitHub Copilot coding agent는 이슈를 할당받아 백그라운드에서 코드를 수정하고 테스트를 추가한 뒤, 검토 가능한 풀 리퀘스트를 생성하는 기능이다. 최근에는 작업별 모델 선택, 자체 코드 리뷰, 보안 검사, 사용자 정의 에이전트, 로컬 CLI와의 컨텍스트 공유가 추가되어 자동화 수준과 결과 품질이 향상됐다. GitHub는 향후 비공개 모드, 코딩 전 계획 수립, 이슈 요약과 보고서 생성까지 기능을 확장할 예정이다. ## 작업에 맞는 AI 모델 선택 Agents 패널에서 작업별로 사용할 모델을 지정할 수 있게 됐다. - 단순한 단위 테스트 추가에는 빠른 모델을 선택할 수 있다. - 복잡한 리팩터링이나 엣지 케이스가 많은 통합 테스트에는 더 강력한 모델을 사용할 수 있다. - `Auto`를 선택하면 GitHub가 작업에 적합한 모델을 자동으로 결정한다. - 사용 방법: - GitHub 우측 상단의 Agents 패널에서 저장소를 선택한다. - 모델을 고르고 작업 프롬프트를 입력한다. - 현재 Copilot Pro와 Pro+에서 사용할 수 있으며, Business와 Enterprise 지원은 추후 제공될 예정이다. ## 자체 코드 리뷰로 개선된 풀 리퀘스트 에이전트가 풀 리퀘스트를 열기 전에 Copilot code review를 실행해 자신의 변경 사항을 점검한다. - 코드가 동작하더라도 지나치게 복잡하거나 팀의 일반적인 작성 방식과 다른 부분을 찾아낸다. - 리뷰 피드백을 반영해 코드를 수정한 뒤 풀 리퀘스트를 생성한다. - 개발자는 에이전트의 작업 로그에서 코드 리뷰 실행과 수정 과정을 확인할 수 있다. - 사용자는 에이전트가 반복 작업을 마친 후 최종 풀 리퀘스트를 검토하면 된다. ## 작업 중 실행되는 보안 검사 Copilot coding agent는 작업 과정에서 생성된 코드를 대상으로 여러 보안 검사를 수행한다. - Code scanning으로 취약한 코드 패턴을 탐지한다. - Secret scanning으로 API 키나 비밀 값이 커밋되는지 확인한다. - 의존성 취약점 검사를 통해 알려진 CVE가 포함된 패키지를 탐지한다. - 검사 결과는 세션 로그에 표시되며, 풀 리퀘스트가 열리기 전에 문제를 확인할 수 있다. - 일반적으로 GitHub Advanced Security에 포함되는 code scanning을 Copilot coding agent에서는 별도 비용 없이 제공한다. ## 팀 규칙을 반영하는 사용자 정의 에이전트 사용자 정의 에이전트를 사용하면 팀의 개발 절차와 전문 작업 방식을 파일로 명시할 수 있다. - 저장소의 `.github/agents/` 아래에 에이전트 설정 파일을 만든다. - 특정 에이전트에 작업 범위와 수행 절차를 부여할 수 있다. - 예를 들어 성능 최적화 에이전트가 다음 순서로 동작하도록 만들 수 있다. - 먼저 벤치마크를 실행한다. - 특정 코드를 수정한다. - 변경 후 성능을 다시 측정한다. - 결과와 함께 풀 리퀘스트를 생성한다. - 조직이나 엔터프라이즈 전체에서 사용자 정의 에이전트를 공유할 수 있어 팀별 작업 방식의 일관성을 높인다. - 실제 데모에서는 조회 함수의 성능을 측정한 뒤 수정해 해당 함수에서 99% 개선을 달성했다. ## 클라우드와 로컬 CLI 간 작업 연속성 클라우드에서 시작한 작업을 로컬 터미널로 이어가거나, 로컬 작업을 클라우드 에이전트에 위임할 수 있다. - “Continue in Copilot CLI”를 선택하면 브랜치, 로그, 대화 컨텍스트가 유지된 채 로컬에서 작업을 이어간다. - CLI에서 `&`를 누르면 현재 작업을 클라우드로 다시 위임할 수 있다. - 클라우드와 로컬 사이를 이동할 때 대화를 처음부터 다시 설명할 필요가 없다. - 터미널 중심 개발과 GitHub 기반 자동화를 유연하게 결합할 수 있다. ## 앞으로의 확장 방향 GitHub는 Copilot coding agent를 단순한 풀 리퀘스트 생성 도구 이상으로 확장하려 하고 있다. - 비공개 모드 지원 - 코딩 전에 작업 계획을 세우는 기능 - 풀 리퀘스트가 필요 없는 이슈 요약 - 자동 보고서 생성 팀의 반복적인 개발 작업에는 사용자 정의 에이전트와 적절한 모델 선택을 적용하고, 보안 검사와 자체 리뷰 결과를 확인하는 방식으로 활용하는 것이 좋다. 복잡한 작업은 클라우드에서 위임하고 세부 수정은 CLI에서 이어가는 방식도 효과적이다.