GitHub: 풀 리퀘스트에 AI 보안 탐지 도입 및 Copilot 앱에 /security-review 명령 추가

SAST란 무엇이며 GitHub은 왜 AI를 이 과정에 통합합니까?

정적 애플리케이션 보안 테스트(SAST)는 애플리케이션 실행 전, 코드 병합 전에 소스 코드의 보안 취약점을 자동으로 검사하는 방법입니다. GitHub의 Code Scanning은 이미 CodeQL을 주요 SAST 도구로 사용하고 있지만, CodeQL이 네이티브로 지원하는 프로그래밍 언어의 수는 제한적입니다. 새로운 AI 레이어는 이 공백을 채우고 CodeQL이 이전에 지원하지 않았던 언어에 대한 보안 분석을 제공합니다.

풀 리퀘스트에 직접 표시되는 AI 탐지 결과

GitHub Code Scanning은 이제 풀 리퀘스트 인터페이스 내에서 AI 생성 보안 탐지 결과를 직접 표시합니다. 각 탐지 결과는 AI 레이블로 명확히 표시되어 개발자가 기존 CodeQL 탐지와 AI 분석 결과를 구분할 수 있습니다. 핵심 장점은 커버리지입니다. AI 탐지는 CodeQL이 기본으로 지원하지 않는 언어도 포괄하여 더 넓은 코드베이스로 보안 검사를 확장합니다. 개발자는 개입 비용이 가장 낮은 시점——배포 후가 아닌 병합 전——에 경고를 받을 수 있습니다.

Copilot 앱의 새 명령어 /security-review

Code Scanning 변경과 동시에, GitHub은 GitHub Copilot 채팅 인터페이스에 /security-review 명령어를 도입합니다. 사용자는 코드나 전체 파일을 선택하고 채팅에서 직접 보안 분석을 실행할 수 있습니다. 시스템은 네 가지 취약점 유형을 인식합니다: 인젝션 공격(SQL, 커맨드 인젝션), 크로스 사이트 스크립팅(XSS), 경로 탐색, 약한 암호화. CI/CD 파이프라인에서 자동으로 실행되는 Code Scanning과 달리, /security-review는 개발자가 필요에 따라 호출하는 대화형 도구입니다——예를 들어 타인의 코드 검토 시나 민감한 부분을 리팩터링할 때 사용합니다.

통합 및 시장 맥락

두 기능은 GitHub이 AI 지원 보안 분야에서 내딛는 협조된 발걸음으로 같은 날 출시되었습니다. 비교하자면 Snyk과 Semgrep 같은 경쟁자들은 이미 정적 분석 위에 AI 레이어를 더 오래전부터 제공해 왔지만, GitHub 인터페이스에 직접 통합되면——추가 도구나 라이선스 없이——보안 분석이 프로젝트 유형이나 언어에 상관없이 모든 GitHub Copilot 사용자에게 제공됩니다.