breakinglog
GitHub가 2026년 10월 7일(미국 현지시간) 코드 속 비밀번호와 인증 정보를 더 넓게 찾는 AI 탐지 모델을 공개했습니다. 마이크로소프트 연구진과 함께 만든 ModernBERT 기반 분류기로, 후보 정보 묶음을 2밀리초 미만에 검사한다고 설명합니다.
다만 현재 즉시 적용되는 ‘업로드 후 탐지’와 앞으로 확대될 ‘업로드 전 차단’은 서로 다른 기능입니다. GitHub에 코드를 올리는 모든 사용자의 비밀번호가 이 모델로 자동 차단되는 것은 아닙니다.
새 모델은 무엇을 다르게 찾아내나
기존 푸시 보호(push protection)는 정해진 형식의 API 키나 토큰을 잘 찾아냅니다. 하지만 서비스별 접두어가 없는 데이터베이스 비밀번호처럼 평범한 문자열은 형식만으로 구분하기 어렵습니다.
새 분류기는 문자열 주변의 코드를 함께 살핍니다. GitHub는 데이터베이스 접속 주소, 쿠버네티스 Secret 설정, Dockerfile 속 비밀번호처럼 보이는 값을 판별하면서, 단순 예시값인 changeme는 통과시키는 사례를 제시했습니다. 2밀리초 미만은 후보 묶음의 분류 처리 시간으로, 저장소 전체 검사나 git push가 2밀리초에 끝난다는 뜻이 아닙니다.
10월 9일 기준, 누가 바로 사용할 수 있나
GitHub 발표에 따르면 이미 AI 비밀정보 탐지를 사용하는 조직은 10월 7일부터 업로드 후 스캔(post-push)에 새 분류기가 자동 적용됩니다. 이 방식으로 발견한 경고는 기존 Secret Protection 구매 범위에 포함되며 별도 AI 탐지 요금이 추가되지 않는다고 안내했습니다.
반대로, 문제가 있는 코드를 서버로 보내기 전에 막는 AI 기반 푸시 보호는 현재 비공개 프리뷰입니다. GitHub는 10월 중 GitHub Team 및 Enterprise Cloud에서 Secret Protection을 사용하는 조직에 제공 범위를 넓힐 예정이며, 이 기능은 AI 크레딧을 사용한다고 밝혔습니다. 세부 크레딧 차감량은 이번 발표에서 특정되지 않았습니다.
GitHub Enterprise Server 3.23에서도 공개 프리뷰로 제공할 계획이며, Copilot CLI와 Copilot App의 /security-review 명령에도 추가할 예정입니다. 두 항목은 10월 9일 기준 이미 모두 사용 가능하다는 발표가 아니라 향후 제공 계획입니다.
무료인가, 추가 결제가 필요한가
기본적인 공개 저장소의 시크릿 스캔과 푸시 보호는 무료로 제공됩니다. 그러나 이번에 발표한 AI 기반 일반 비밀번호 탐지는 같은 범위의 무료 기능으로 취급하면 안 됩니다. GitHub 공식 문서는 조직 및 기업 저장소에 GitHub Secret Protection이 활성화돼 있어야 AI 기반 탐지를 사용할 수 있다고 설명합니다. 별도 GitHub Copilot 구독은 필수 조건이 아닙니다.
GitHub의 공개 요금표에서 Secret Protection은 활성 커미터당 월 19달러의 별도 상품입니다. 이는 기본 상품 가격이며, 앞서 예고한 AI 기반 푸시 보호의 크레딧 사용량까지 포함한 최종 청구액을 뜻하지 않습니다. 실제 청구와 적용 가능 여부는 조직의 플랜과 설정, 청구 화면에서 확인해야 합니다.
조직 관리자는 저장소의 Settings → Advanced Security → Secret Protection에서 AI로 감지한 비밀정보 스캔 설정을 살펴볼 수 있습니다. 엔터프라이즈 정책이 조직 설정을 제한할 수도 있습니다.
왜 이번 변화가 중요한가
GitHub는 2026년 2분기 공개 코드 푸시 가운데 비밀정보가 검출된 비율이 2024년 2분기와 비교해 통계적으로 유의미하게 높아지지는 않았다고 설명했습니다. 하지만 전체 푸시량이 같은 기간 약 2.84배로 늘면서 발견하고 차단해야 할 절대 건수는 증가했습니다.
GitHub는 현재 여러 종류의 비밀정보를 합쳐 새로 발견되는 노출의 약 30%를 푸시 단계에서 차단한다고 밝혔습니다. 새 모델을 추가하면 예방 가능한 비밀정보의 수를 두 배 이상으로 늘릴 잠재력이 있다는 것이 회사의 전망입니다. 이는 출시 후 실제 차단 성과가 두 배로 검증됐다는 뜻은 아닙니다.
코딩 에이전트가 만든 변경을 직접 모두 읽기 어려운 환경에서 보호 범위를 넓히려는 움직임으로 볼 수 있습니다. 비밀번호를 이미 커밋했다면 경고를 무시하거나 파일에서 문자열만 지우지 말고, 해당 서비스에서 키를 폐기하고 재발급해야 합니다.
공식 확인 자료
GitHub 발표 원문(2026년 10월 7일)에서 모델 특성, 적용 단계와 수치를 확인할 수 있습니다. GitHub 공식 설정 문서와 요금표에서는 실제 사용 조건과 가격을 확인할 수 있습니다.
