GitHub, 오픈소스 라이선스 컴플라이언스 공개 프리뷰…PR 단계서 비준수 의존성 차단

GitHub 공식 변경 로그에 따르면 GitHub는 2026년 6월 30일 오픈소스 라이선스 컴플라이언스 기능을 공개 프리뷰로 제공하기 시작했다. 이 기능은 기업이 의존성 라이선스 정책을 중앙에서 정하고, pull request 단계에서 정책에 맞지 않는 의존성이 병합되기 전에 확인하도록 설계됐다.

핵심은 기존 dependency review action의 범위를 기업 단위 정책과 ruleset 기반 검사로 확장한 점이다. GitHub는 새 조건인 “Require license compliance check results before merging”을 ruleset에 적용하면, 개발자가 패키지 매니페스트를 추가하거나 수정하는 pull request를 열 때 새 의존성과 변경 의존성의 라이선스를 정책과 비교한다고 설명했다.

GitHub Docs는 이 검사가 직접 의존성뿐 아니라 dependency graph에서 탐지되는 전이 의존성까지 활용한다고 안내한다. Active 모드 ruleset이 적용된 저장소에서는 비준수 의존성이 발견될 경우 병합이 차단된다. Evaluate 모드에서는 병합 차단 없이 검사와 주석 표시를 먼저 운영할 수 있어, 기업은 저장소별 성격에 따라 단계적으로 정책을 적용할 수 있다.

비준수 의존성이 발견되면 pull request에는 관련 주석이 표시된다. 개발자는 해당 의존성을 제거하거나 교체할 수 있고, 필요한 경우 패키지 예외나 정책 변경 요청 흐름을 거칠 수 있다. GitHub는 이를 위해 “Enterprise Open Source License Policy Manager”라는 새 엔터프라이즈 역할을 도입했다. 정책 관리자는 예외 요청을 검토하고 승인할 수 있으며, 대기 요청은 엔터프라이즈 콘솔과 이메일 알림으로 확인할 수 있다.

제공 범위는 제한적이다. GitHub 변경 로그와 문서에 따르면 공개 프리뷰는 GitHub Enterprise Cloud 고객 중 GitHub Advanced Security Code Security 라이선스를 보유한 조직을 대상으로 한다. 설정 전에는 GitHub Code Security와 dependency graph가 켜져 있어야 하며, 정책과 ruleset을 관리할 권한도 필요하다.

이 기능은 오픈소스 공급망 관리가 보안 취약점 탐지에서 라이선스와 운영 리스크 관리까지 넓어지는 흐름을 보여준다. 기업 개발 조직은 취약점 패치뿐 아니라 라이선스 의무, 배포 가능성, 예외 승인 기록을 함께 관리해야 한다. 특히 AI 코딩 도구와 자동 의존성 갱신이 확산되면서 새 패키지가 빠르게 유입되는 환경에서는, 병합 전 정책 검사가 법무·보안·개발 조직 사이의 수동 검토 부담을 줄이는 장치가 될 수 있다.

다만 공개 프리뷰 단계인 만큼 세부 동작과 제공 조건은 바뀔 수 있다. GitHub 문서도 라이선스 선택 목록의 위험 구분이 법률 자문을 대체하지 않는다고 설명한다. 실제 도입 기업은 사내 법무 기준, SPDX 표현식 관리, 예외 승인 권한, 저장소별 ruleset 적용 방식을 함께 정리해야 한다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-30-open-source-license-compliance-is-in-public-preview/
출처: GitHub Docs https://docs.github.com/en/code-security/concepts/supply-chain-security/open-source-license-compliance
출처: GitHub Docs https://docs.github.com/en/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-license-policies
출처: GitHub Blog https://github.blog/enterprise-software/governance-and-compliance/how-github-maintains-compliance-for-open-source-dependencies/