Secret protection must scale with software

핵심 요약

GitHub은 최근 9분기 동안의 데이터를 분석하여 AI 에이전트가 소프트웨어 개발을 가속화함에 따라 발생하는 보안 위협의 본질을 진단했습니다. 2026년 2분기 기준 GitHub 풀 리퀘스트의 3분의 1은 AI 에이전트가 관여하고 있으며, 머지않아 대부분의 코드가 에이전트에 의해 작성될 것으로 예상됩니다. 주목할 점은, 코드 푸시량이 2024년 2분기 대비 2026년 2분기까지 2.8배 증가하는 동안, 비밀 정보 유출 비율은 통계적으로 유의미한 상승세를 보이지 않았다는 것입니다. 이는 AI 도입이 개발자의 부주의를 야기했다는 통념을 반박하며, 단순히 개발자에게 '주의'를 당부하는 것만으로는 보안 문제를 해결할 수 없음을 시사합니다. 현재 개발자의 수동 비밀번호 폐기에는 평균 약 40일이 소요되며, 5건 중 1건은 90일 이상 걸리는 등 개발 속도를 대응 속도가 따라가지 못하는 상황입니다. 이에 GitHub은 기존의 수동 Remediation(복구) 중심에서 컴퓨팅 기반의 예방적 차단으로 보안 패러다임을 전환하고 있습니다. 핵심 변화는 크게 두 가지입니다. 첫째, 150개 이상의 기술 파트너와 연계하여 푸시 단계에서 인증 정보를 실시간 차단하는 푸시 보호(Push Protection) 강화입니다. 둘째, MS Applied Sciences와 개발한 새로운 분류 모델을 통해 패턴이 없는 비정형 비밀 정보까지 2밀리초 내에 식별하여 차단 범위를 두 배 이상 확대할 계획입니다. GitHub은 이를 '4체 문제(four-body problem)' 즉, 정밀도, 지연 시간, 처리량, 비용의 균형을 맞추는 도전 과제로 정의했습니다. 개발 흐름을 방해하지 않으면서도 시스템 부하를 최소화하는 정교한 모델을 통해, 사람이 직접 개입해야 하는 사후 대응 비율을 줄여 나가는 것이 향후 플랫폼 보안의 핵심 방향입니다.

무엇이 바뀌었나

• AI 에이전트 활용 급증에도 불구하고 개발자의 비밀 유출 비율은 증가하지 않음
• MS와 협력하여 2밀리초 내에 비정형 비밀 정보를 탐지하는 미세 조정 분류 모델 도입
• 기존 수동 사후 대응 중심에서 푸시 시점 자동 차단으로 보안 전략의 자동화 비중 확대
• 파트너십을 통한 실시간 토큰 폐기 자동화로 보안 대응 속도 개선

누가 봐야 하나

DevSecOps 팀장, 플랫폼 보안 엔지니어, 소프트웨어 공급망 보안 담당자

원문에서 확인할 것

• 비정형 비밀 정보 탐지를 위해 도입된 새로운 분류 모델의 실제 오탐률 수치
• 푸시 차단 시 개발자의 오버라이드 비율이 지속적으로 감소하는 추세의 지속 여부
• 제공된 데이터 이후 시점에서의 AI 에이전트 생성 코드 점유율 변화

출처·한계

본 자료는 GitHub 블로그의 데이터를 바탕으로 작성되었으며, 해당 분류 모델의 구체적인 작동 원리나 기술적 사양은 포함되어 있지 않습니다. 발행·수집 기준 시각은 2026. 10. 8. 오전 2:45입니다.