원문 소식, 쉽게 읽기
GitHub는 2026년 10월 13일 조직과 엔터프라이즈 관리자가 풀 리퀘스트용 AI Scan의 운영 결과를 Security Overview에서 볼 수 있게 했다. 풀 리퀘스트는 코드 변경을 검토해 프로젝트에 합치도록 요청하는 단위다. AI Scan은 이 변경분을 분석해 보안 취약 가능성을 찾고, 가능한 경우 수정 제안도 붙이는 기능이다. 이번 변화는 탐지 결과 하나씩을 여는 대신 조직 전체의 도입 효과를 묶어서 살펴보는 관리 화면을 추가한 것이다. 출처
관리자는 AI Scan이 만든 탐지 결과 수와 해결된 수, 해결률을 확인할 수 있다. 어느 저장소에서 탐지 결과가 나왔는지, 선택한 보고 기간에 수치가 어떻게 변했는지, 개발자가 자동 수정 제안을 얼마나 적용했는지도 표시된다. 자동 수정 제안이 붙은 탐지와 붙지 않은 탐지를 나눠 보는 수치도 제공한다. 다만 발표는 탐지의 심각도별 분포, 오탐률이나 실제 침해 예방 효과를 측정하는 지표까지 제공한다고 밝히지는 않았다. 출처
화면 구조도 바뀐다. 기존 CodeQL pull requests 페이지의 이름은 Code scanning on pull requests로 바뀌고, CodeQL과 AI Scan이 각각 별도 탭으로 나뉜다. 기존 CodeQL 관련 지표는 CodeQL 탭으로 이동한다. CodeQL은 코드의 구조와 데이터 흐름을 질의해 취약점을 찾는 GitHub의 정적 분석 방식이고, AI Scan은 풀 리퀘스트의 변경 맥락을 AI로 분석하는 기능이다. 두 방식을 한 화면 안에서 분리해 보여 주므로 관리자는 같은 기간과 조직 범위에서 결과를 비교하되 서로 다른 검사 결과를 섞지 않을 수 있다. 출처
이번 기능은 공개 미리보기다. github.com에서 제공되며 GitHub Enterprise Cloud도 포함하지만, GitHub Code Security 또는 GitHub Advanced Security를 사용하는 고객이 대상이다. 자체 서버에 설치하는 GitHub Enterprise Server는 이번 릴리스에서 지원되지 않는다. 따라서 같은 조직이라도 계약한 보안 제품과 GitHub 배포 방식에 따라 화면을 바로 사용할 수 있는지가 달라진다. 출처
OYOPICK의 시선
보안 도구를 도입할 때 중요한 질문은 탐지를 몇 건 만들었는지가 아니라 개발 흐름 안에서 실제로 얼마나 처리됐는지다. 해결률과 자동 수정 적용률을 함께 보여 주는 화면은 AI 보안 검사가 경고만 늘리는지, 수정까지 이어지는지를 조직 단위로 확인하는 출발점이 된다. 특히 저장소별 차이를 보면 특정 팀에 검토 인력이 부족한지, 자동 수정이 특정 코드 유형에서만 잘 작동하는지 추가 조사가 가능하다.
그러나 높은 해결률이 곧 높은 보안 수준을 뜻하지는 않는다. 쉬운 항목만 빠르게 해결하거나 중요도가 낮은 탐지가 많으면 수치는 좋아 보여도 실제 위험은 남을 수 있다. 발표에 심각도·오탐·재발 지표가 명시되지 않은 만큼 관리자는 해결률을 단독 성과 지표로 쓰기보다 심각한 미해결 항목의 체류 시간, 사람이 거부한 자동 수정의 이유와 함께 해석해야 한다.
OYOPICK은 AI 보안 기능이 탐지 개수 경쟁을 넘어 수정 과정의 투명성을 높이는 방향으로 발전할 가능성을 긍정적으로 본다. 그 판단은 GitHub가 미리보기 이후 심각도와 오탐 맥락을 보강하고, 관리자가 팀을 압박하는 순위표가 아니라 검사 품질과 지원 필요를 찾는 도구로 지표를 운용한다는 조건에 달려 있다.