GitHub agentic autofix로 보안 경고를 맡기기 전 검증 범위를 확인해보세요

이번 정식 출시는 누구를 대상으로 하나요?

정식 출시 공지는 GitHub Enterprise Cloud에서 Code Security 또는 Advanced Security를 쓰는 고객을 대상으로 해요. 데이터 레지던시 지원 환경도 포함해요. 이 글은 그 발표 범위 안에서 도입 조건을 다뤄요.

개념 문서는 더 넓은 이용 조건과 기존 Autofix의 대상도 설명해요. 두 자료의 이용대상 서술이 같지 않아서, 문서에 나온 모든 저장소 유형이 이번 Enterprise Cloud 공지와 같은 조건으로 제공된다고 넓혀 읽으면 안 돼요.

기존 Copilot Autofix와 처리 방식이 어떻게 다른가요?

기존 Copilot Autofix는 지원 경고 하나에 대한 코드 변경 제안을 내고 사용자가 검토해 적용해요. agentic autofix는 관련 파일을 탐색하고 수정한 뒤 검증을 시도해 draft PR을 열어요. 활성화하면 개별 경고의 Generate Fix 대신 Assign to Copilot을 쓰게 돼요.

기본 브랜치에 있는 경고만 지원해요. PR이나 다른 브랜치에만 잡힌 경고는 할당할 수 없어요. 경고 목록이나 보안 캠페인에서 최대 25개를 골라 단일 PR로 수정을 맡길 수도 있어요. 최대 개수까지 채워야 하는 조건은 아니에요.

CodeQL 재실행은 어디까지 확인해 주나요?

에이전트는 CodeQL의 code scanning 쿼리 모음으로 수정을 다시 확인해요. 이 과정은 best effort예요. 문서는 custom CodeQL 쿼리, security-extended 쿼리 모음, 서드파티 도구의 경고는 수정 성공을 확인할 수 없다고 밝혀요. PR이 열렸다는 사실만으로 해당 경고의 해결을 확정할 수는 없어요.

검토할 때는 PR에 적힌 검증 단계와 실제 변경 파일을 함께 보는 방법을 제안해요. 재현했던 입력이 정상 처리되는지, 관련 기능이 계속 동작하는지도 팀 테스트로 확인하세요. 경고가 사라졌는지와 기능이 유지되는지는 각각 확인할 항목이에요.

켜기 전에 어떤 정책과 비용을 확인하나요?

공지 기준으로 엔터프라이즈 관리자가 Advanced Security 정책의 Agentic autofix를 허용한 뒤 조직·저장소 관리자가 Code Security 설정에서 켜요. Copilot billing method도 정의돼 있어야 해요. 하위 저장소의 설정만 바꿔 상위 정책을 넘을 수 있다고 가정하지 마세요.

사용량은 Code Security 예산의 AI Credits와 GitHub Actions minutes를 소비해요. 기존 Copilot Autofix의 변경 제안은 AI Credits를 쓰지 않으므로 같은 비용 조건으로 묶으면 안 돼요. 팀에서 시험할 때는 서로 관련된 경고를 소규모로 묶고, 담당 검토자와 비용 확인 담당자를 먼저 정하는 방법을 제안해요.

실행 후에는 PR의 검증 기록에서 실행한 쿼리 모음, 재실행 결과, 확인하지 못한 경고를 나눠 적어 두세요. 다음 할당 전에 미검증 경고를 누가 어떤 검사로 확인할지 정하면 검토가 멈추는 지점을 줄일 수 있어요. 공식 자료 확인일은 2026-10-17이에요.