무슨 일이 있었나
10월 15일, GitHub는 코드 스캐닝에서 풀 리퀘스트용 AI Scan의 GA를 발표했습니다: CodeQL이 지원하지 않는 언어/프레임워크(PHP, Shell/Bash, Terraform/HCL, Dockerfiles, JSP, Blazor/C#)의 PR 변경 사항에서 취약점을 찾는 AI 기반 탐지기입니다. 발견 사항은 'AI' 표시와 함께 CodeQL 결과 옆에 표시되며, 위험 설명 및 제안된 자동 수정을 포함할 수 있고 Code Security AI Credits를 사용합니다. 공개 리포지토리에는 추가 비용 없이 제공되며, 비공개 리포지토리는 Code Security/Advanced Security를 통해 제공됩니다.
왜 중요한가
이는 기반 코드 플랫폼의 GA 보안 기능으로, 자동 수정 제안과 함께 AI 시대 앱시큐리티의 실질적 커버리지 격차(비-CodeQL 언어)를 해소하며, 기존 코드 스캐닝 워크플로를 활용하므로 마찰이 거의 없습니다. 이는 AI 생성 코드 규모에 맞춰 AI 기반 비밀 탐지(ModernBERT)로 이미 확장 중인 GitHub의 AI 네이티브 심층 방어 포지셔닝을 강화합니다.
적용 범위
GitHub Advanced Security/Code Security 고객과 오픈소스 조직은 CodeQL이 놓치는 언어를 커버하기 위해 PR용 AI Scan을 활성화해야 합니다. AI 코드 스캐닝을 평가하는 보안 및 DevEx 팀은 PHP/Shell/Terraform/Docker 리포지토리에서 이를 시험해야 합니다.