이번에 새로 열린 것은 API 뿐이고, AI Scan 기능 자체는 7월 14일부터 공개 미리보기로 돌고 있었어요. AI Scan 은 CodeQL 이 다루지 않는 PHP·셸·Terraform 설정(HCL)·Dockerfile·JSP·Blazor 를 풀 리퀘스트에서 훑는 보안 취약점 탐지이지 코드 품질 지적이나 AI 가 쓴 코드를 가려내는 기능이 아니고, 병합을 막지 않는 정보성 표시로만 붙어요. 엔드포인트가 주고받는 값은 `pr_scan` 하나뿐이라 켬·끔 상태만 읽고 바꿀 수 있고 발견 항목 목록은 안 담기며, 조직에서 꺼 두면 저장소 설정으로 되살릴 수 없고 GitHub Advanced Security 와 코파일럿 라이선스가 둘 다 있어야 하며 탐지가 돌 때마다 조직의 AI 크레딧이 빠져요.
용어 풀이
- REST API
- 웹 주소와 HTTP 요청만으로 기능을 불러 쓰도록 만든 연결 창구
- CodeQL
- 깃허브의 코드 분석 엔진. 코드를 데이터베이스로 바꿔 질의로 취약점을 찾는다
- HCL
- HashiCorp Configuration Language. Terraform 설정을 적는 언어
- SSRF
- Server-Side Request Forgery. 서버가 공격자가 지정한 주소로 요청을 대신 보내게 만드는 취약점
운영자 인사이트
저장소 수백 개에 일괄로 켜는 스크립트는 이제 가능하지만 이 엔드포인트로 결과를 받아 오지는 못해서, 탐지 결과를 모으거나 병합 게이트로 쓰려면 코드 스캐닝 알림 쪽을 따로 붙여야 해요. 탐지가 돌 때마다 AI 크레딧이 빠지니 CodeQL 이 못 보던 PHP·셸·Terraform 저장소부터 좁게 켜 보는 편이 안전해요.
여러 관점으로 보기
- 이번 발표 (API) 조직 설정이 전체 허용 여부를 쥐고 저장소 설정은 조직이 꺼 둔 상태를 덮어쓰지 못한다고 못 박았어요. GitHub Changelog
- 기능 자체의 출시 시점 AI Scan 은 두 달 전인 7월 14일에 공개 미리보기로 열렸고, 그때부터 코파일럿 라이선스와 AI 크레딧을 요구했어요. GitHub Changelog
- 무엇을 검사하는가 문자열 주입·약한 암호·접근 제어 미비·SSRF 등 아홉 가지 보안 범주를 풀 리퀘스트 안에서만 보고 저장소 전체는 안 훑어요. GitHub Docs
- 응답에 무엇이 담기는가 GET·PATCH 모두 `pr_scan` 이 enabled 인지 disabled 인지만 주고받고, 조직 소유자나 보안 관리자 권한이 있어야 불러요. GitHub Docs