2024년 9월 13일(금) 주간 개발트렌드

![image](https://librarian-blog-images.s3.ap-northeast-2.amazonaws.com/2a3741f8-626e-4237-b985-d52de10bb444_thumbnail_1.png)

## AI / Security — Copilot이 보안 경고까지 이해하기 시작

GitHub가 **9월 5일 Copilot Chat에 GitHub Advanced Security 경고 정보를 연결**했습니다.

Copilot Chat이 이제 GitHub의 **Code Scanning, Secret Scanning, Dependabot Alert**를 Context로 활용할 수 있게 된 것입니다.

개발자는 단순히 보안 경고를 확인하는 것을 넘어 Copilot에게 해당 취약점이 무엇인지, 어떤 코드와 관련돼 있는지, 어떻게 수정해야 하는지를 질문할 수 있게 됐습니다.

[GitHub Changelog](https://github.blog/changelog/2024-09-05-copilot-chat-in-github-com-is-now-contextually-aware-of-github-advanced-security-alerts/)

---

### 기존 AI Coding Assistant

초기의 AI Coding Assistant는 주로 코드 작성 자체를 도와주는 역할에 집중했습니다.

```text
Developer
    ↓
AI Coding Assistant
    ↓
Code Completion
```

대표적인 기능은 다음과 같았습니다.

- Code Completion
- 함수 생성
- Boilerplate 생성
- 코드 설명
- Refactoring 제안
- 테스트 코드 생성

즉 개발자가 **코드를 작성하는 과정**을 빠르게 만드는 것이 핵심 역할이었습니다.

---

### Copilot의 역할 확장

GitHub는 Copilot이 단순히 Editor 안에서 코드를 생성하는 것을 넘어 Repository 전체의 Context를 이해하는 방향으로 기능을 확장하고 있었습니다.

```text
기존

Code
 ↓
Copilot
 ↓
Code Completion


확장

Repository
   ↓
Copilot

├─ Code
├─ Pull Request
├─ Dependency
└─ Vulnerability
```

이번 GitHub Advanced Security 연동은 이러한 변화의 대표적인 사례였습니다.

---

### GitHub Advanced Security

GitHub Advanced Security는 Repository의 여러 보안 문제를 탐지할 수 있는 기능을 제공합니다.

대표적으로 다음 세 가지 영역이 있습니다.

```text
GitHub Advanced Security

├─ Code Scanning
├─ Secret Scanning
└─ Dependabot
```

각 기능은 서로 다른 종류의 보안 문제를 탐지합니다.

---

### Code Scanning

Code Scanning은 Source Code를 분석해 잠재적인 보안 취약점과 Coding Error를 탐지합니다.

GitHub에서는 대표적으로 **CodeQL**을 활용할 수 있습니다.

```text
Source Code
    ↓
CodeQL Analysis
    ↓
Security Alert
```

예를 들어 다음과 같은 문제를 탐지할 수 있습니다.

- SQL Injection
- Cross-Site Scripting
- 잘못된 입력 검증
- 위험한 데이터 흐름
- 취약한 API 사용

기존에는 개발자가 Alert와 CodeQL 분석 결과를 직접 확인하고 문제의 원인을 파악해야 했습니다.

---

### Secret Scanning

Secret Scanning은 Repository에 실수로 포함된 Credential이나 Secret을 탐지합니다.

```text
Repository
    ↓
Secret Scanning
    ↓
API Key
Token
Credential
Private Key
```

예를 들어 개발자가 다음과 같은 값을 실수로 Commit했을 경우 탐지 대상이 될 수 있습니다.

```text
API_KEY
AWS_ACCESS_KEY
GitHub Token
Database Credential
Private Key
```

Secret 유출은 실제 서비스 침해로 직접 이어질 수 있기 때문에 빠른 탐지와 대응이 중요합니다.

---

### Dependabot

Dependabot은 Application에서 사용하는 Dependency의 알려진 취약점을 탐지합니다.

```text
Application
    ↓
Dependencies
    ↓
Known Vulnerability
    ↓
Dependabot Alert
```

예를 들어 프로젝트에서 특정 Package의 취약한 Version을 사용하고 있다면 Dependabot이 이를 알려줄 수 있습니다.

```text
package-a@1.2.0
      ↓
Known CVE
      ↓
Dependabot Alert
      ↓
Upgrade 필요
```

현대 Application은 수많은 Open Source Dependency를 사용하기 때문에 Dependency Security 역시 Software Security에서 중요한 영역입니다.

---

### Copilot + Security Alert

이번 변화에서 중요한 부분은 이런 보안 정보를 Copilot이 **Context로 사용할 수 있게 됐다는 점**입니다.

기존에는 다음과 같은 과정이 필요했습니다.

```text
Security Alert
     ↓
Developer 확인
     ↓
관련 Code 확인
     ↓
Documentation 검색
     ↓
취약점 분석
     ↓
수정 방법 확인
```

Copilot이 Security Alert를 이해할 수 있게 되면서 다음과 같은 흐름이 가능해졌습니다.

```text
Security Alert
     ↓
Copilot
     ↓
Context 분석
     ↓
취약점 설명
     ↓
수정 방법 안내
```

개발자가 보안 분석 결과를 해석하는 과정에 AI Assistance가 들어오기 시작한 것입니다.

---

### 실제로 어떤 질문을 할 수 있는가

GitHub가 당시 소개한 사용 방식에는 다음과 같은 질문들이 있었습니다.

```text
이 Alert는 어떻게 수정해야 하는가?

현재 PR에 Security Alert가 몇 개 있는가?

이 Code Scanning Alert는 어떤 Class를 참조하는가?

Dependabot Alert에서 영향을 받는 Library는 무엇인가?

이 Repository에는 어떤 Security Alert가 있는가?
```

즉 Copilot이 단순히 코드를 생성하는 것이 아니라 **Repository의 Security 상태를 질의할 수 있는 Interface**로 확장되기 시작했습니다.

---

### 왜 중요한가

Software Security Tool은 이미 많은 정보를 제공하고 있었습니다.

문제는 결과를 **개발자가 이해하고 실제 수정으로 연결하는 과정**이었습니다.

```text
Security Tool

Detection
   ↓
Alert
   ↓
Technical Information
   ↓
Developer Interpretation
   ↓
Fix
```

특히 CodeQL이나 CVE 분석 결과에는 개발자가 익숙하지 않은 보안 개념이 포함될 수 있습니다.

AI가 이 사이에 들어가면 다음과 같은 구조가 만들어집니다.

```text
Security Tool
     ↓
Security Alert
     ↓
AI Assistant
     ↓
Developer가 이해할 수 있는 설명
     ↓
Fix
```

보안 분석 Tool과 개발자 사이의 **해석 계층**으로 AI가 들어가기 시작한 것입니다.

---

### AI Coding Assistant의 범위 확대

이 시기의 중요한 흐름은 AI Coding Assistant의 역할이 코드 작성 자체에서 빠르게 확장되고 있었다는 점입니다.

```text
1단계

Code Completion
```

이후에는

```text
2단계

Code
+
Repository Context
```

그리고 점점

```text
3단계

Code
+
Pull Request
+
Dependency
+
Security
+
CI/CD
```

같은 방향으로 발전하기 시작했습니다.

즉 AI Coding Assistant가 단순한 **코드 자동완성 도구**에서 Software Development Lifecycle 전체를 이해하는 도구로 이동하기 시작한 것입니다.

---

### Security 관점에서의 변화

기존 Security Tool은 보통 취약점을 **탐지하는 역할**에 집중했습니다.

```text
Security Scanner
      ↓
Vulnerability Detection
      ↓
Alert
```

하지만 AI가 결합되면 그 다음 단계까지 지원할 수 있습니다.

```text
Security Scanner
      ↓
Vulnerability Detection
      ↓
Alert
      ↓
AI Analysis
      ↓
Explanation
      ↓
Remediation Assistance
```

보안 도구가 단순히

```text
문제가 있습니다
```

라고 알려주는 것에서,

```text
왜 문제인지
어떤 코드가 관련됐는지
어떻게 수정할 수 있는지
```

까지 연결하는 방향으로 발전하기 시작한 것입니다.

---

### Backend 개발자에게 미치는 영향

Backend Application에서는 Security Alert가 발생할 수 있는 영역이 매우 많습니다.

```text
Backend

├─ Source Code
├─ Dependency
├─ Authentication
├─ Authorization
├─ API
├─ Database
└─ Secret
```

특히 Spring, Node.js, NestJS 같은 Backend Application은 많은 Dependency를 사용하기 때문에 Supply Chain Security도 중요합니다.

예를 들어 다음과 같은 Workflow에서 AI Assistance를 사용할 수 있습니다.

```text
Pull Request
    ↓
Code Scanning
    ↓
Security Alert
    ↓
Copilot Analysis
    ↓
Developer Review
    ↓
Fix
    ↓
Merge
```

Security Review가 개발 Workflow 안으로 더 자연스럽게 들어올 수 있는 구조입니다.

---

### DevSecOps와 AI

이러한 흐름은 DevSecOps에도 영향을 줍니다.

기존 DevSecOps Pipeline이

```text
Code
 ↓
Build
 ↓
Security Scan
 ↓
Test
 ↓
Deploy
```

형태였다면,

AI Assistance가 들어가면서

```text
Code
 ↓
Security Scan
 ↓
AI Analysis
 ↓
Developer Fix
 ↓
CI/CD
 ↓
Deploy
```

처럼 Security Alert와 개발자 사이의 Feedback Loop를 줄일 수 있습니다.

취약점을 Production 이후에 발견하는 것이 아니라 개발 과정에서 발견하고 수정하는 **Shift Left Security** 흐름과도 연결됩니다.

---

### 그렇다고 AI가 보안 판단을 대신하는 것은 아니다

Copilot이 Security Alert를 설명하고 수정 방법을 제안한다고 해서 Security Tool이나 개발자의 검증이 필요 없어지는 것은 아닙니다.

AI가 제안한 코드 역시 다시 검증해야 합니다.

```text
AI Suggestion
     ↓
Developer Review
     ↓
Security Scan
     ↓
Test
     ↓
Merge
```

특히 보안 문제는 잘못된 수정이 새로운 취약점을 만들 수도 있기 때문에 **AI가 생성한 수정사항을 그대로 신뢰하기보다 기존 Security Scanner와 Test를 통해 다시 검증하는 구조**가 필요합니다.

---

### 실무 영향

이번 변화는 AI Coding Assistant가 어떤 방향으로 발전할지를 보여주는 사례였습니다.

초기의 Copilot이

```text
코드를 작성해주는 AI
```

였다면 점점

```text
Repository를 이해하고

Code를 이해하고

PR을 이해하고

Dependency를 이해하고

Security Alert까지 이해하는 AI
```

로 역할이 확장되고 있었습니다.

특히 개발자는 Code Scanning Alert, Secret Scanning Alert, Dependabot Alert를 확인한 뒤 관련 Documentation과 Source Code를 직접 오가며 분석해야 했던 과정을 AI의 도움을 받아 더 빠르게 이해할 수 있게 됐습니다.

결국 GitHub Advanced Security와 Copilot의 결합은,

> **AI Coding Assistant가 코드 생성 도구에서 Software Development Lifecycle 전체를 이해하는 개발 보조 시스템으로 확장되기 시작했다는 신호**

라고 볼 수 있습니다.

2024년 9월 6일(금) 주간 개발트렌드

독자의 메모