깃허브가 코드 변경안을 병합하기 전에 인공지능으로 보안 취약점을 찾는 기능을 정식 제공한다. 개발팀은 기존 분석 도구가 다루지 못하던 언어와 설정 파일까지 검토 범위를 넓힐 수 있지만, 새 결과는 병합을 막는 판정이 아니라 사람이 확인할 참고 정보다.

1. 기존 분석이 다루지 못한 영역을 보완한다

깃허브는 2026년 10월 15일 AI Scan의 정식 제공을 발표했다. 이 기능은 변경안을 검토하는 풀 리퀘스트에서 취약점을 찾으며, 기존 코드 분석 도구인 CodeQL이 현재 지원하지 않는 언어와 프레임워크를 보완한다. 기존 검사를 대체하는 기능으로 발표된 것은 아니다.

지원 대상에는 PHP와 Shell/Bash가 포함된다. 웹 애플리케이션에 쓰이는 언어뿐 아니라 셸 스크립트의 변경도 검사 범위에 들어간다.

Terraform 설정과 Dockerfile도 대상이다. 인프라 구성을 적은 설정과 컨테이너 이미지를 만드는 파일까지 변경 검토 단계에서 살필 수 있다는 뜻이다. 발표는 이 밖에도 지원 대상이 있다고 설명한다.

2. 설정을 켜면 변경 검토 화면에 결과가 나온다

AI Scan이 자동 실행되려면 코드 스캐닝이 활성화돼 있고, 저장소에 실제로 적용되는 해당 기능의 설정도 켜져 있어야 한다. 코드 스캐닝만 사용 중이라는 이유로 자동 실행된다고 볼 수는 없다. 발표에는 구체적인 설정 메뉴 경로나 명령 예시는 제시되지 않았다.

발견 항목은 풀 리퀘스트의 대화 화면과 변경 파일 화면에서 CodeQL 결과와 나란히 표시된다. AI 표시로 기존 분석의 경고와 구별할 수 있으며, 보안 위험 설명과 자동 수정 제안이 포함될 수 있다. 수정안이 함께 나오는지는 항목마다 다를 수 있으므로 결과를 읽고 판단하는 과정이 필요하다.

3. 병합 차단 수단으로 사용할 수는 없다

AI Scan의 발견 항목은 참고용이다. 코드 스캐닝 검사를 실패시키지 않으며, 저장소의 병합 조건을 정하는 규칙 집합을 통해서도 병합을 차단할 수 없다. 따라서 발견 항목을 누가 확인하고 수정 여부를 정할지 팀의 검토 절차에 반영하는 편이 적절하다.

원본 저장소에서 갈라져 나온 포크의 풀 리퀘스트와 Dependabot이 만든 풀 리퀘스트에서는 실행되지 않는다. 외부 기여나 의존성 갱신을 검토할 때는 작성 주체만이 아니라 실제로 이 실행 제외 조건에 해당하는지 구분해야 한다.

4. 저장소 유형에 따라 이용 자격이 달라진다

조직이나 개인 계정이 소유한 공개 저장소에서 사용할 수 있다. 조직 소유의 비공개 저장소와 내부 저장소에서는 GitHub Code Security 또는 GitHub Advanced Security가 필요하다. 공개 저장소의 이용 가능 여부와 비공개 저장소의 라이선스 조건을 나눠 확인해야 한다.

별도의 GitHub Copilot 라이선스는 필요하지 않다. 따라서 도입 검토의 출발점은 코딩 보조 도구 구독 여부가 아니라 저장소 유형과 보안 제품 이용 자격이다.

5. 검사 범위 확대와 크레딧 소비를 함께 본다

이 기능의 이익은 기존 분석의 빈 영역을 변경 검토 화면 안으로 가져온다는 데 있다. 반면 팀은 추가 발견 항목을 검토할 업무와 사용량을 함께 관리해야 한다. AI Scan은 Code Security AI Credits를 소비하므로, 이용 자격을 갖췄다는 사실과 실행에 따른 크레딧 소비는 별개로 살펴야 한다.

사용량은 엔터프라이즈의 과금·라이선스 화면에서 AI usage 영역의 Advanced Security 제품으로 표시된다.

크레딧에는 상품 식별 단위인 SKU별 예산을 설정할 수 있다. 다만 발표에는 크레딧 단가, 실행당 소비량, 예산 도달 시 실행을 자동 중단하는지에 대한 설명이 제시되지 않았다.

AI Scan은 기존 보안 검사를 대신하는 차단 장치가 아니라, 검토 범위를 넓히는 대신 사람의 확인과 크레딧 관리를 요구하는 보완 도구다.