AI 보안검사를 한 저장소에서 켜는 일은 어렵지 않습니다. 문제는 수백, 수천 저장소에서 어느 팀부터 적용하고 예외를 어떻게 추적할지입니다. GitHub는 2026년 9월 10일 풀리퀘스트용 AI Scan 설정을 조직과 저장소 단위 REST API로 공개했습니다. 탐지 모델보다 배포와 통제 방식이 달라진 소식입니다.
화면 설정이 정책 코드로 바뀐다
새 API는 조직과 저장소의 AI Scan 활성 상태를 읽고 수정합니다. 보안팀은 관리 화면을 저장소마다 열지 않고 대상 목록을 만들어 순차적으로 켤 수 있습니다. 고위험 서비스부터 시작하고 결과를 본 뒤 범위를 넓히는 운영이 쉬워집니다.
조직 수준에서 비활성화하면 저장소가 이를 뒤집어 켤 수 없습니다. 중앙 정책이 상한이 되고 저장소 설정은 그 안에서만 움직입니다. 대규모 조직에서 예외를 줄이고 변경 이력을 남기는 데 중요한 구조입니다.
AI Scan은 CodeQL을 대체하지 않는다
GitHub는 AI 탐지를 CodeQL이 아직 다루지 못하는 언어와 프레임워크의 빈틈을 보완하는 기능으로 설명합니다. 풀리퀘스트가 열리거나 바뀔 때 변경 코드를 보고 보안 문제를 제안합니다. 정적 분석 규칙과 다른 패턴을 찾을 가능성이 있습니다.
반대로 생성형 탐지는 같은 입력에도 결과가 달라질 수 있고 오탐과 누락이 있습니다. GitHub의 책임 있는 사용 문서도 여러 번 평가하고 적대적 입력을 시험한다고 밝히지만 독립적인 저장소별 정확도를 보장하지는 않습니다.
공개 미리보기의 범위
API는 github.com의 GitHub Advanced Security 고객에게 제공되는 공개 미리보기입니다. GitHub Enterprise Server는 지원되지 않습니다. 내부망 설치형 환경을 쓰는 조직은 같은 방식으로 정책을 자동화할 수 없습니다.
설정을 켜는 것과 실제 병합을 막는 것도 다릅니다. AI Scan 결과는 검토 신호이며 모든 경고가 병합 차단 규칙으로 작동하는 것은 아닙니다. 보안팀은 탐지 결과를 누가 확인하고 어떤 심각도에서 사람 승인을 요구할지 별도로 정해야 합니다.
첫 배포는 정확도 측정부터
저장소 수가 많다고 한 번에 모두 켜면 검토 대기열과 비용이 급격히 늘 수 있습니다. 과거 취약점이 잘 정리된 저장소와 위험도가 높은 서비스에서 먼저 실행해 오탐률, 실제 발견률, 검토시간을 측정하는 편이 좋습니다.
API의 진짜 가치는 버튼을 자동으로 누르는 데 있지 않습니다. 어떤 저장소에 왜 적용했고 언제 중단했는지 정책으로 남기는 데 있습니다. AI 보안 도구도 다른 보안 통제처럼 배포 범위와 책임자를 함께 관리해야 합니다.