GitHub, Copilot CLI 보안 리뷰 명령 공개…CodeQL 증분 분석도 확대

GitHub 공식 변경 로그에 따르면 GitHub는 2026년 6월 10일 Copilot CLI에서 코드 변경 사항을 점검하는 /security-review 명령을 공개 프리뷰로 제공한다고 밝혔다. 같은 날 CodeQL 증분 분석도 Go, C/C++, CodeQL CLI 환경으로 확대했다.

/security-review 명령은 개발자가 커밋 전 로컬 변경 사항을 대상으로 보안 취약점을 점검할 수 있도록 설계됐다. GitHub는 이 기능이 심각도와 신뢰도로 정리된 고신뢰 보안 발견 사항, 적용 가능한 수정 제안, 현재 작업 흐름 안에서 끝나는 집중형 리뷰를 제공한다고 설명했다.

GitHub는 이 스캔이 주입 취약점, 크로스사이트 스크립팅, 안전하지 않은 데이터 처리, 경로 탐색, 취약한 암호화 등 흔한 고위험 취약점 유형을 찾도록 조정됐다고 밝혔다. 다만 이 기능은 Copilot 기반의 보조 점검으로, GitHub code scanning, Dependabot, secret scanning을 대체하는 것이 아니라 커밋 전 가벼운 검토 수단으로 보완하는 성격이다.

CodeQL 쪽 변화는 자동화된 정적 분석의 실행 비용을 줄이는 데 초점이 있다. GitHub는 C/C++와 Go pull request 분석에 증분 방식을 적용하고, CodeQL CLI 2.25.5부터 제3자 CI 환경에서도 증분 분석을 지원한다고 밝혔다. 앞서 C#, Java, JavaScript/TypeScript, Python, Ruby에 적용했던 개선을 다른 주요 언어와 CLI 사용 사례로 넓힌 것이다.

GitHub가 공개한 설명에 따르면 증분 분석은 변경 사항 중심으로 분석 경로를 줄여 pull request 스캔 시간을 단축하는 방식이다. 회사는 1만5,000개 이상 저장소를 대상으로 비증분 분석 시간대별 성능 변화를 측정했으며, C/C++와 Go 모두에서 분석 시간이 줄었다고 밝혔다. 구체적인 효과는 저장소 규모와 기존 분석 시간에 따라 달라질 수 있다.

이번 업데이트는 개발 보안 도구가 두 방향으로 움직이고 있음을 보여준다. 하나는 AI 보조 명령을 통해 개발자가 커밋 전에 위험 신호를 빠르게 확인하는 흐름이고, 다른 하나는 CodeQL 같은 정적 분석을 더 자주 실행해도 부담이 낮아지도록 하는 인프라 개선이다. 보안 검토가 별도 단계에 머무르기보다 터미널, pull request, CI에 자연스럽게 들어가는 흐름이 강화되고 있다.

다만 /security-review는 실험 기능이며 public preview 단계다. 실제 조직 도입 전에는 Copilot CLI 실험 모드, 조직의 Copilot 사용 정책, 기존 code scanning 운영 방식과의 역할 구분을 함께 확인할 필요가 있다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-10-dedicated-security-review-command-now-available-in-copilot-cli/
출처: GitHub Changelog https://github.blog/changelog/2026-06-10-incremental-analysis-for-go-c-c-and-codeql-cli/