# 리포지토리 백로그용 AI 스캔

여러 언어에서 추가 보안 취약성을 찾고 기존 code scanning 백로그에서 결과를 관리합니다.

> [!NOTE]
> 리포지토리에 대한 AI 스캔이 공개 미리 보기 미리 보기 상태에 있으며 변경될 수 있습니다.

리포지토리에 대한 AI 스캔은 사용 가능한 경우 여러 모델을 활용하는 독점 하네스를 사용하여 리포지토리의 기본 분기에서 보안 취약성을 찾습니다. 모든 언어를 지원하며 지원되는 CodeQL 언어를 넘어 범위를 확장하고 이미 CodeQL 분석하는 언어에서 추가 취약성을 찾습니다.
CodeQL와는 별도로 필요에 따라 검색을 실행합니다.

리포지토리에 대한 AI 스캔은 code scanning 경고와 함께 회원님의 CodeQL 백로그에 결과를 추가합니다. 기존 워크플로를 사용하여 경고를 할당하고, agentic autofix를 적용하고, 보안 캠페인에 경고를 포함하고, 문제에 연결할 수 있습니다.

## Availability

가용성은 리포지토리의 소유자와 해당 가시성에 따라 달라집니다.

| 리포지토리 소유자                                                     | 가시성       | 가용성 및 요구 사항          |
| ------------------------------------------------------------- | --------- | -------------------- |
| Organization                                                  | Public    | 활성 커밋자 라이선스 없이 사용 가능 |
| Organization                                                  | 비공개 또는 내부 |                      |
| GitHub Code Security 또는 GitHub Advanced Security에서 사용할 수 있습니다 |           |                      |
| 개인 계정                                                         | Public    | Available            |
| 개인 계정                                                         | 비공개       | 사용할 수 없음             |

GitHub Copilot 라이선스가 필요하지 않습니다.

## Billing

요청 시 리포지토리에 대한 AI 검사를 실행하고 각 검사는 **Code SecurityAI credits** 을 소비합니다. 이 사용은 활성 커밋자 라이선스와는 별개입니다.

사용량은 조직의 결제를 담당하는 계정에 청구됩니다.

개인 계정이 소유한 공용 리포지토리의 경우 리포지토리 소유자가 GitHub Copilot 조직 또는 기업에서 제공하는 라이선스가 없는 한 해당 개인 계정으로 사용 요금이 청구됩니다. 이 경우 사용량은 라이선스를 제공하는 조직 또는 기업에 청구됩니다.

청구 계정이 AI credits 자격을 통해 포함된 GitHub Copilot를 받는 경우 AI Scan은 먼저 해당 크레딧을 사용합니다. 포함된 크레딧이 소진되거나 계정에 포함된 크레딧이 없는 경우 사용량은 해당 예산에 따라 종량제로 계산되며 관리됩니다. 하드 예산으로 사용 가능한 리소스Code SecurityAI credits가 남아 있지 않으면 AI 스캔에서 결과를 생성할 수 없습니다. 관리자가 제한 예산을 늘리거나 새 청구 주기가 시작되면 검사가 다시 시작됩니다.

리포지토리에 대한 AI 스캔에는 매우 많은 양의 예산을 사용하지 못하도록 몇 가지 제한이 있습니다. 탐지 단계는 최대 30분 및 150,000 AI credits로 제한됩니다.

자세한 내용은 [GitHub Advanced Security 라이선스 결제](/ko/billing/concepts/product-billing/github-advanced-security#how-ai-feature-usage-is-billed)을(를) 참조하세요.

## AI Scan 작동 방식

리포지토리에 대한 **쓰기 권한**이 있는 사용자는 리포지토리의 기본 분기를 수동으로 스캔합니다. AI 에이전트는 리포지토리 전체에서 검색하여 검사할 파일 및 함수를 식별합니다. 모든 파일을 전체로 읽는 대신 추가 분석을 위한 코드를 선택합니다. 에이전트는 시간 예산 내에서 실행됩니다. 예산이 소진되면 검색을 중지하고 결과를 보고합니다.

AI 스캔은 CodeQL와 독립적으로 실행됩니다. 리포지토리에 이미 CodeQL 경고가 있는 경우 AI Scan은 이러한 경고를 사용하여 일치하는 결과를 억제합니다.

## 코드 스캐닝 백로그에 AI 검사 결과가 표시되는 방식

스캔이 완료되면 스캔 결과는 code scanning 탭 아래 리포지토리의 \*\*\*\* 경고 목록에 CodeQL의 경고와 함께 표시됩니다.
**AI 스캔** 도구를 사용하여 목록을 필터링하여 이러한 결과에 집중할 수 있습니다.

기존 경고 심각도 필터를 사용하여 평가를 위한 발견 사항의 우선 순위를 지정합니다. 경고를 할당하거나, 문제에 연결하거나, 보안 캠페인에 포함하거나, 또는 agentic autofix를 사용하여 문제 해결을 지원할 수 있습니다.
[리포지토리에 대한 코드 검사 경고 평가](/ko/code-security/how-tos/manage-security-alerts/manage-code-scanning-alerts/assess-alerts)을(를) 참조하세요.

공개 미리 보기 동안 잠재적인 수정 사항을 병합해도 다른 AI Scan이 자동으로 트리거되지는 않습니다. 해결된 경고를 확인하려면 새 검사를 수동으로 트리거해야 합니다.

적용된 수정 사항이 경고를 트리거한 정확한 코드 줄을 변경하는 경우에만 경고가 자동으로 닫힙니다. 그렇지 않으면 경고를 수동으로 닫아야 합니다.

## Limitations

* 검사는 기본 브랜치만 분석합니다.
* 스캔은 수동으로 시작됩니다. 예약된 검사 및 푸시 시 자동 검사는 지원되지 않습니다.
* 에이전트는 시간 예산 내에서 검사할 코드를 선택합니다. 검사는 모든 파일을 완전히 분석하거나 모든 취약성을 발견한다고 보장하지는 않습니다.
* 기존 CodeQL 경고와의 일치는 최선의 노력으로 수행되므로 중복 경고가 발생할 수 있습니다.
* AI에서 생성된 결과는 정확하지 않을 수 있습니다. 해결 방법을 결정하기 전에 각 발견 사항을 검토합니다.

AI 기반 보안 기능을 책임감 있게 사용하는 방법에 대한 지침은 [앱 카드: GitHub 보안 및 품질 관련 AI 기능](/ko/code-security/responsible-use/security-and-quality-ai-features)을 참조하세요.

## 지원되는 언어

리포지토리에 대한 AI 스캔은 CodeQL에서 이미 지원하는 언어를 포함해 모든 언어를 지원합니다. 추가 취약성을 찾거나 CodeQL에서 지원하지 않는 언어로 스캔 범위를 확장하려면 CodeQL와 함께 사용합니다.

## 리포지토리에 대한 AI 스캔 사용

리포지토리에 대한 AI 검사를 사용하도록 설정하기 전에 리포지토리 사용 가능 여부를 확인하고, 청구 계정에 포함된 AI credits을 검토하고, 종량제 사용량에 대한 예산을 구성합니다.

* **엔터프라이즈**: 엔터프라이즈 소유자는 조직이 리포지토리에 대해 AI 스캔을 사용하도록 허용하거나 방지할 수 있습니다. 이 정책은 풀 요청에 대한 AI 검사와 리포지토리의 백로그에 대한 AI 검사를 모두 제어합니다. 정책은 기본적으로 "허용되지 않음"으로 설정됩니다. AI 스캔을 허용해도 자동으로 활성화되지는 않습니다.
  [엔터프라이즈에 대한 코드 보안 및 분석을 위한 정책 적용](/ko/enterprise-cloud@latest/admin/enforcing-policies/enforcing-policies-for-your-enterprise/enforcing-policies-for-code-security-and-analysis-for-your-enterprise#enforcing-a-policy-to-manage-ai-scan-in-your-enterprises-repositories)을(를) 참조하세요.
* **조직**: 조직 소유자 및 보안 관리자는 적격 리포지토리에 대해 AI 스캔을 사용하도록 설정할 수 있습니다. 리포지토리는 조직 설정을 상속합니다.
  [조직에 대한 글로벌 보안 설정 구성](/ko/code-security/how-tos/secure-at-scale/configure-organization-security/establish-complete-coverage/configure-global-settings#enabling-ai-scan-for-repositories)을(를) 참조하세요.
* **조직 소유 리포지토리**: 조직이 AI Scan을 사용하도록 설정한 경우 리포지토리에 대한 관리자 액세스 권한이 있는 사용자는 옵트아웃할 수 있습니다. 조직 설정이 비활성화된 경우 옵트인할 수 없습니다. 기능을 사용하지 않도록 설정하려면 리포지토리의 "설정" 페이지로 이동하여 "Advanced Security"에서 "Code Security"에서 **리포지토리에 대한 AI 스캔**을 해제합니다.

## 다음 단계

검사를 실행하고 결과 경고를 관리하려면 [리포지토리의 기본 분기에서 AI 검사 경고 보기 및 관리](/ko/code-security/how-tos/manage-security-alerts/manage-code-scanning-alerts/viewing-and-managing-ai-scan-alerts)을 참조하세요.