깃허브, 오픈소스 라이선스 검사 정식 출시…기업 저장소 병합 전 차단 가능

깃허브가 16일 오픈소스 라이선스 규정 준수 기능을 정식 출시했다. 기업이 코드에 새로 추가하는 외부 패키지의 라이선스를 자체 정책과 비교하고, 설정에 따라 문제가 해소될 때까지 변경사항의 병합을 차단하는 방식이다.

대상은 깃허브 엔터프라이즈 클라우드를 쓰면서 해당 저장소에 깃허브 코드 시큐리티가 켜진 조직이다. 데이터 상주형 엔터프라이즈 클라우드도 포함된다. 모든 공개 저장소에 기본 적용되는 기능은 아니다.

차단할지 알릴지는 규칙 설정에 달려

깃허브 설명서에 따르면 기업은 허용할 라이선스를 정책으로 정하고 규칙 집합을 저장소에 적용한다. 패키지 목록이 바뀐 풀리퀘스트에서는 이전 버전과 새 버전 사이의 의존성 변화를 대조한다. 검사에는 의존성 그래프에서 찾은 간접 의존성도 포함된다.

규칙 집합을 활성 모드로 두고 '병합 전 라이선스 준수 결과 필요' 조건을 설정하면 정책에 어긋난 의존성이 해결될 때까지 병합이 막힌다. 평가 모드는 경고를 표시하지만 그 자체로 병합을 차단하지 않는다. 따라서 기능을 켰다는 사실만으로 모든 라이선스 위반이 자동으로 차단된다고 볼 수 없다.

문제가 표시되면 개발자는 패키지를 바꾸거나 정책 변경·예외를 요청할 수 있다. 깃허브는 예외 요청을 검토할 기업용 라이선스 관리자 역할도 도입했다. 검사 결과는 회사가 정한 정책과 확인된 라이선스 정보에 따른 것이며, 개별 사용 방식의 법적 적합성을 확정하는 판정은 아니다.

데이터 상주 고객까지 제공 범위 확대

깃허브는 지난 6월 공개 시험 이후 데이터 상주 고객의 라이선스 정보를 의존성 그래프와 소프트웨어 자재명세서(SBOM)에도 제공한다고 밝혔다. 정책 변경 기록을 감사 로그에 남기고 정책 파일과 패키지 준수 여부를 다루는 API도 추가했다.

오픈소스이니 라이선스 검토가 불필요한 것은 아니다. 오픈소스 이니셔티브(OSI)는 승인된 라이선스 목록을 별도로 공개한다. 이번 출시는 깃허브의 제품 제공 범위에 관한 발표로, 실제 기업의 법적 위험 감소나 검사 정확도가 독립 시험으로 입증됐다는 뜻은 아니다.

대표 이미지: AI 생성 이미지 / 데이마크

자료: https://github.blog/changelog/2026-10-16-open-source-license-compliance-generally-available/

기능 설명: https://docs.github.com/enterprise-cloud@latest/code-security/concepts/supply-chain-security/open-source-license-compliance

OSI 라이선스 목록: https://opensource.org/licenses