GitHub의 최신 AI 도구는 사용자가 코드의 버그와 취약점을 자동으로 수정하도록 도와줍니다.

오늘 GitHub는 사용자가 GitHub 코드에서 잠재적인 보안 취약성과 코딩 오류를 찾는 데 도움이 되도록 설계된 모든 고급 보안(GHAS) 라이선스 사용자를 위한 새로운 "코드 스캔" 기능(미리 보기)을 출시했습니다.

이 새로운 기능은 Copilot과 CodeQL을 활용하여 코드의 잠재적인 취약점이나 오류를 감지하고 분류하며 수정 사항의 우선순위를 지정합니다. 코드 스캔은 GitHub Actions 시간을 소비한다는 점에 유의하는 것이 중요합니다.

소개에 따르면 "코드 스캔"은 개발자가 새로운 문제를 발생시키는 것을 방지할 수 있을 뿐만 아니라 특정 날짜와 시간을 기준으로 또는 저장소에서 특정 이벤트(예: 푸시)가 발생할 때 스캔을 트리거할 수도 있습니다.

AI가 코드에 취약점이나 오류가 있을 수 있음을 발견하면 GitHub는 저장소에서 경고를 보내고 사용자가 경고를 트리거한 코드를 수정한 후 경고를 취소합니다.

저장소나 조직의 코드 스캔 결과를 모니터링하려면 웹 후크와 코드 스캔 API를 활용할 수 있습니다. 또한 코드 스캔은 SARIF(Static Analysis Results Data Format)로 출력을 교환하여 타사 코드 스캔 도구와 상호 운용될 수 있습니다.

현재 CodeScan에 CodeQL 분석을 사용하는 세 가지 주요 방법이 있습니다.

• 기본 설정을 사용하여 리포지토리에서 CodeScan에 대한 CodeQL 분석을 빠르게 구성합니다. 기본 설정에서는 분석할 언어, 실행할 쿼리 모음, 스캔을 트리거하는 이벤트를 자동으로 선택하지만, 필요한 경우 실행할 쿼리 모음과 분석할 언어를 수동으로 선택할 수 있습니다. CodeQL이 활성화되면 GitHub Actions는 워크플로 실행을 수행하여 코드를 스캔합니다.
• 고급 설정을 사용하여 CodeQL 워크플로를 리포지토리에 추가하세요. 그러면 github/codeql-action을 사용하여 CodeQL CLI를 실행하는 사용자 지정 가능한 워크플로 파일이 생성됩니다.
• 외부 CI 시스템에서 직접 CodeQL CLI를 실행하고 결과를 GitHub에 업로드하세요.

GitHub는 이 AI 시스템이 발견한 취약점의 2/3 이상을 수정할 수 있다고 약속하므로 일반적으로 개발자는 코드를 적극적으로 편집할 필요가 없습니다. 또한 회사는 코드 검색 자동 교정이 현재 JavaScript, Typescript, Java 및 Python을 포함하는 지원 언어의 경고 유형 중 90% 이상을 다룰 것이라고 약속합니다.

참고 자료:

• 《코드 스캔 정보 - GitHub Docs》
• 《CodeQL을 사용한 코드 스캔 정보 - GitHub Docs》