발견 즉시 해결되는 애플리케이션 보안

GitHub Code Security는 개발자가 속도 저하 없이 코드를 안전하게 지킬 수 있도록 돕습니다. CodeQL과 AI 스캔이 취약성을 찾고, Copilot이 취약성을 수정하고, 종속성 검토와 보안 캠페인이 위험이 누적되지 않게 하며, 이 모든 것이 GitHub 워크플로 안에서 이루어집니다.

Copilot Autofix는 AI 기반 코드 제안을 활용하여 CodeQL에서 확인된 보안 취약성을 자동으로 해결합니다. 보안 취약성이 탐지되면 Copilot Autofix에서 코드 맥락을 분석하고 보안 이슈를 파악한 후 정확하고 상황에 맞는 해결책을 생성합니다. 이 기능은 취약점 탐지와 해결 간의 단절을 해소해, 개발자가 기존 워크플로에서 AI가 제안한 수정사항을 바로 검토하고 적용할 수 있게 합니다.

Security Campaign은 여러 리포지토리와 팀에서 보안 수정을 계획, 추적 및 구현할 수 있는 구조화된 프레임워크를 제공하여 보안 부채를 체계적으로 해소할 수 있습니다. Security Campaign을 통해 보안 팀은 통합 대시보드에서 관련 취약성 그룹화, 해결 작업의 우선순위 지정, 소유권 할당, 진행 상태 파악을 모두 수행할 수 있습니다. Security Campaign은 취약성 유형, 보안 이니셔티브, 규정 준수 요구 사항 또는 기타 논리적인 그룹으로 구성하여 대규모로 보안 개선을 조정할 수 있습니다.

의존성 검토는 취약한 의존성이 코드베이스에 포함되기 전에 pull request를 스캔하여 확인합니다. 의존성 변경 시 미치는 보안 영향을 평가하여 취약한 패키지와 그 심각도 수준을 식별하여 보안 문제가 코드에 병합되는 것을 방지합니다. 이 도구는 기준 브랜치와 헤드 브랜치를 비교해 의존성의 변경 사항을 상세히 보여주며, 추가·제거·업데이트된 항목과 그에 따른 알려진 취약점을 강조합니다.

이제 Dependabot 경고에 글로벌 FIRST(Forum of Incident Response and Security Teams)의 EPSS(Exploit Prediction Scoring System)가 포함되어 취약성 위험을 더 잘 평가할 수 있습니다. EPSS는 향후 30일 이내에 취약성이 악용될 가능성을 예측하여 조직이 취약성 해결의 우선순위를 정할 수 있도록 도와줍니다. 이 시스템은 0에서 1 사이의 점수(0~100%)를 비롯하여 다른 취약점들과의 비교를 통한 백분위 순위를 제공합니다.

Code Security Risk Assessment는 리포지토리를 분석해 코드 수준의 잠재적 취약성을 식별하고 GitHub Code Security가 보안 태세 향상에 도움을 줄 수 있는 영역을 조명하는 무료 평가입니다. GitHub 보안 리스크 평가에 대해 자세히 알아보세요.

AI 스캔은 AI를 사용해 취약성을 찾습니다. CodeQL이 지원하지 않는 언어에서도 취약성을 찾아냅니다. 모든 pull request를 검토하고(정식 출시) 필요할 때 전체 리포지토리를 스캔합니다(공개 프리뷰). 리포지토리 스캔 결과는 코드 스캔 경고가 되며, 다른 경고와 마찬가지로 추적, 할당, 수정할 수 있습니다. AI 스캔은 기본적으로 꺼져 있습니다. 관리자가 코드 스캔 설정에서 켜야 하며, 코드 스캔 쓰기 권한이 있으면 누구나 리포지토리 스캔을 시작할 수 있습니다.

예. AI 애플리케이션용 코드 스캔(공개 미리 보기)은 pull request를 검토하여 간접 프롬프트 인젝션, 민감한 정보 노출, 과도한 자율성 등 AI 앱과 에이전트에 특화된 위험을 찾아냅니다. 신뢰할 수 없는 콘텐츠가 도구나 데이터에 접근할 수 있는 모델에 전달되는 코드 경로를 식별하고, 해결 방법을 안내합니다. 코드 스캔 설정에서 이 기능을 활성화하세요.