GitHub AI Scan 정식 제공…CodeQL 미지원 언어의 PR 취약점 분석

GitHub가 PHP·Shell·Terraform 등 CodeQL이 지원하지 않는 영역의 PR 변경을 분석하는 AI Scan을 정식 제공한다. 결과는 참고용으로 병합을 막지 않으며, 포크·Dependabot PR은 제외된다. Copilot 라이선스는 필요 없지만 Code Security AI Credits를 소비한다.

내용·출처 업데이트 · 2026. 10. 16. 오전 12:31

코드 스캔과 저장소의 AI Scan 설정이 활성화돼 있으면 PR에서 자동 실행한다.

PHP·Shell/Bash·Terraform HCL·Dockerfile·Java JSP·C# Blazor 등을 지원한다.

발견 사항은 Conversation·Files changed 탭에 CodeQL 결과와 함께 표시하며 AI 표시로 구분한다. 위험 설명과 자동 수정 제안을 포함할 수 있다.

공개 저장소에서 사용할 수 있으며, 조직 소유 비공개·내부 저장소에는 GitHub Code Security 또는 Advanced Security가 필요하다.

발견 사항은 코드 스캔 검사를 실패시키지 않고 규칙 집합의 병합 차단 조건으로도 사용할 수 없다.

기업 결제 화면에서 AI Credits 사용량을 확인하고 SKU별 예산을 설정할 수 있다.

보안 경고를 필수 병합 조건으로 삼으려면 AI Scan 외의 검사도 함께 구성해야 한다.