GitHub AI Scan 지표 확인법: 발견·해결 건수와 Autofix 적용률 보기

AI Scan 지표 지원 플랜과 권한

이번 지표는 public preview로 github.com과 GitHub Enterprise Cloud에서 제공됩니다. 발표 대상은 GitHub Code Security 또는 GitHub Advanced Security 고객이며, 이번 릴리스에서 GitHub Enterprise Server는 지원하지 않습니다. 근거: 10월 13일 공식 발표

지표 조회와 AI Scan 실행의 조건은 구분해야 합니다. AI Scan 개념 문서는 preview 실행에 Advanced Security·Copilot 라이선스와 AI credits 사용을 안내합니다. 조직 정책·계정 권한·실제 사용 조건을 확인하고 보고서가 보인다는 이유로 모든 저장소가 스캔된다고 판단하지 마세요. 근거: AI Scan 실행·사용 조건

보고서 문서는 조직 보기와 엔터프라이즈 보기의 접근 조건을 구분하고, 저장소의 admin 역할·세부 권한·알림 접근 권한에 따른 가시성을 설명합니다. 집계가 동료와 다르다면 같은 필터인지 확인한 뒤 볼 수 있는 저장소 범위를 대조하세요. 근거: 보고서 접근·가시성

화면 찾기: Code scanning on pull requests와 AI Scan 탭

1. GitHub에서 확인하려는 조직 또는 엔터프라이즈를 선택합니다.
2. Security and quality에서 security overview 관련 보고서를 엽니다.
3. Insights의 Code scanning on pull requests를 선택합니다.
4. CodeQL과 AI Scan 중 AI Scan 탭을 선택합니다.
5. 날짜 범위와 대상 저장소·조직 필터를 정하고 조회 시각을 기록합니다.

10월 13일 발표에서 기존 CodeQL pull requests 페이지가 Code scanning on pull requests로 바뀌었고 CodeQL·AI Scan 탭이 분리됐습니다. 근거: 페이지 명칭 변경 조회 방법 문서에는 이전 CodeQL pull requests 명칭이 남아 있으므로 최신 변경 기록과 함께 읽어야 합니다. 근거: 보고서 탐색 절차

전체 추이는 overview 대시보드의 Prevention 탭에서도 확인할 수 있습니다. AI Scan 개념 문서는 여기에서 발견 추이·해결·Autofix 수락을 보고, 별도 AI Scan 보고서에서는 제안 유무와 결과를 볼 수 있다고 설명합니다. 근거: 지표 조회 위치

발견·해결·Autofix 지표를 구분해서 읽기

항목과 기간·필터 적용 범위는 공식 지표 문서에 근거합니다. 해결률과 Autofix 적용률을 기록할 때에는 화면에 표시된 설명·분모를 함께 남기세요. CodeQL 탭의 Autofix 수락 비율 설명을 AI Scan의 모든 결과 차트에 그대로 적용할 근거는 없습니다.

가상 사례: 제안 제공률 60%와 수정 적용 50%는 다른 질문

다음 숫자는 독립적인 계산 설명이며 GitHub 계정에서 조회한 데이터가 아닙니다. 실제 대시보드의 분모·시간 기준은 화면 설명으로 확인해야 합니다.

여기서 50%는 가상 집단의 처리 결과 비중이지 공식 Autofix 수락률을 단정한 값이 아닙니다. 제안이 있던 발견을 수정했다는 사실과 그 제안을 실제 수락했다는 사실은 구분해야 합니다. 원래 제안을 수정해 적용했는지, 다른 코드로 해결했는지도 실제 PR에서 확인할 수 있습니다.

dismiss에는 오탐이나 위험 수용 등 코드 수정과 다른 판단이 있을 수 있습니다. 발견이 더 이상 활성 상태가 아니라는 이유만으로 취약점이 수정됐다고 보고하면 대응 성과를 과대평가할 수 있습니다.

기간 비교 전 고정해야 할 조건

공식 CodeQL 항목의 기본 브랜치 병합 조건이나 기존 보고서의 날짜 기준을 AI Scan까지 동일하다고 추정하지 마세요. 현재 확인한 AI Scan 지표 설명에 없는 상세 기준은 계정 화면과 후속 문서에서 확인한 뒤 보고서에 표시하는 편이 좋습니다.

신규 저장소를 활성화한 주에 발견 건수가 늘었다면 악화만을 뜻하지 않습니다. 반대로 스캔 대상 PR이 줄어 발견이 감소했다면 품질 개선이라고 단정할 수 없습니다. 적용 범위와 대응 결과를 함께 비교해야 합니다.

AI Scan과 CodeQL 경고를 합산할 때 주의점

AI Scan은 PR에서 CodeQL을 보완하며, 결과가 저장소 보안 화면의 backlog 알림으로 나타나는 방식과 다릅니다. 전체 저장소 스캔을 지원하지 않고, 발견은 merge를 차단하는 필수 조건이 아닙니다. 근거: AI Scan 범위·제한

두 탭의 숫자를 곧바로 더해 고유 취약점 수로 발표하지 마세요. 같은 문제인지, PR별 발견인지, 서로 다른 집계 범위인지 확인이 필요합니다. 팀 보고서에는 원천 지표를 따로 보존하고 합산 기준을 명시하는 것이 좋습니다.

주간 보안 보고서에 남길 기록 양식

조직·엔터프라이즈 / 조회 권한:
기간 / 조회 시각 / 저장소 필터:
AI Scan 활성화 범위 / PR 작업량 변화:
총 발견 / Autofix 제안 있음·없음:
수정 적용 / 제안 수락 / dismiss: 화면 기준으로 구분
비율의 이름 / 분자 / 분모 / 확인한 설명:
미해결 사례 / 원인 / 담당자 / 다음 확인 날짜:

이 양식은 편집부 권고이며 공식 API 응답이나 내보내기 스키마가 아닙니다. 처음에는 미해결 발견이 많은 저장소와 제안 적용이 어려웠던 사례를 표본으로 검토하세요. 제안이 테스트를 통과하지 못했는지, 수정 우선순위가 낮았는지, 오탐인지에 따라 대응 방법이 달라집니다.

자주 묻는 질문

Autofix 제안이 있으면 자동으로 수정되나요?

제안 제공과 적용은 다릅니다. 개발자의 검토, 변경 적용, 테스트·병합 상태를 별도로 확인해야 합니다.

지표가 0이면 취약점이 없는 건가요?

활성화·권한·필터·대상 PR을 먼저 확인하세요. 관측된 발견이 없다는 사실만으로 코드가 안전하다고 보장할 수는 없습니다.

GHES에서도 이 보고서를 볼 수 있나요?

10월 13일 발표 기준 이번 지표 preview는 GHES를 지원하지 않습니다. 향후 적용 여부는 공식 변경 기록을 확인하세요.

관련 GitHub 보안 운영 안내

• CodeQL 2.27.2 언어별 분석 변화·빌드 제한
• GitHub 비밀키 탐지와 푸시 차단 적용 범위