깃허브, AI 에이전트 코드의 간접 프롬프트 주입 검사 시험 공개…현재 탐지는 한 유형

깃허브가 28일(현지시간) AI 애플리케이션과 에이전트의 보안 위험을 풀리퀘스트(PR) 단계에서 찾는 코드 스캔 기능을 공개 시험으로 내놨다. 다만 출시 안내에 나열한 위험 유형 전체를 지금 탐지하는 것은 아니다. 깃허브의 사용 설명서는 현 시험 단계의 탐지 대상을 AI 에이전트의 간접 프롬프트 주입 취약점으로 한정했다.

웹 문서에서 모델·도구로 이어지는 경로 점검

간접 프롬프트 주입은 에이전트가 읽는 웹페이지나 파일 등 외부 자료에 지시를 숨겨 모델의 행동을 바꾸려는 방식이다. OWASP는 외부 입력이 모델의 의도하지 않은 행동을 유발할 수 있으며, 그 영향은 모델에 주어진 권한과 시스템의 업무 맥락에 따라 달라진다고 설명한다.

깃허브는 외부 내용이 도구나 업무 시스템에 접근할 수 있는 모델로 흘러가는 코드 경로를 검사한다고 밝혔다. 스캔은 해당 기능을 켠 저장소의 PR 생성과 새 커밋 뒤에 실행된다. 결과는 PR 댓글에 표시되고 수정 제안이 붙지만, 발견 사항만으로 병합을 막지는 않는다. 이 검사는 기존 CodeQL 분석이나 일반 코드 취약점을 찾는 별도의 ‘AI Scan for pull requests’와 구분된다.

발표의 세 유형과 실제 시험 범위 구분

깃허브의 28일 출시 글은 간접 프롬프트 주입과 함께 민감정보 노출, 에이전트에 지나치게 많은 권한을 주는 문제를 소개했다. 그러나 현행 제품 문서의 ‘Detection coverage’ 항목은 공개 시험 기간에 간접 프롬프트 주입만 탐지한다고 명시한다. 세 유형을 모두 현재 탐지한다고 받아들이면 제품 범위를 넓게 해석하는 셈이다.

이 기능은 기본적으로 꺼져 있다. 기업 정책과 조직의 별도 설정이 필요하며 GitHub Advanced Security 라이선스에 더해 AI 크레딧도 소모한다. 깃허브 문서에 따르면 포크에서 올라온 PR과 Dependabot이 만든 PR은 검사하지 않는다. 기존 저장소 전체나 과거 경고를 거슬러 검사하는 기능도 아니다.

출시 글은 github.com의 공개 시험이라고 밝혔고 GitHub Enterprise Server에는 아직 제공하지 않는다고 적었다. 외부에서 탐지 정확도나 오탐률을 검증한 결과는 이번 발표 자료에 포함되지 않았다. 스캔 결과는 코드 검토에 쓰는 단서이지 공격 방어가 입증됐다는 뜻은 아니다.

출처: https://github.blog/changelog/2026-10-28-code-scanning-for-ai-applications-in-public-preview/ 출처: https://docs.github.com/en/code-security/concepts/code-scanning/ai-applications-scanning-for-pull-requests 출처: https://genai.owasp.org/llmrisk/llm01-prompt-injection/

대표 이미지: AI 생성 이미지 / 데이마크