GitHub AI 비밀 정보 탐지, 실습 저장소의 API 키는 어디까지 잡나

수업에서 학생이 Lovable이나 Supabase로 만든 앱을 GitHub에 올리면서 API 키를 코드에 그대로 적어 두는 경우를 생각해 보겠습니다(예시). GitHub는 2026년 10월 5일 변경 기록에서 Lovable·Supabase·Pydantic의 새 비밀 정보 형식을 탐지 목록에 넣었고, 2026년 10월 7일 변경 기록에서는 비밀 정보 탐지용으로 조정한 AI 모델의 적용 계획을 밝혔습니다. 두 소식은 서로 다른 기능이며, 라이선스에 포함되는 부분과 AI Credits(GitHub의 AI 기능 사용량 단위)가 드는 부분이 따로 있습니다. 아래는 두 변경 기록을 읽고 교육·사내 실습 저장소에서 확인할 점을 정리한 글입니다. 기능을 직접 실행해 보지는 않았습니다.

1. 10월 5일: 이름이 붙은 키 형식이 탐지 목록에 추가됐습니다

GitHub 변경 기록은 "Secret scanning now detects new secret types from Lovable Labs, Pydantic Services Inc., and Supabase."라고 밝혔습니다. 비밀 정보 스캔(secret scanning)은 저장소에 올라간 키와 토큰을 찾아 알려 주는 GitHub 기능입니다. 이번에 추가된 형식은 lovable_api_key, logfire_token, pydantic_ai_gateway_api_key, supabase_oauth_access_token, supabase_scoped_personal_access_token입니다.

같은 변경 기록은 Lovable Labs가 비밀 정보 스캔 파트너 프로그램에 들어왔다고 적었습니다. 공개 저장소에서 Lovable 키가 발견되면 GitHub가 이를 Lovable에 전달해 키를 폐기하거나 교체할 수 있게 한다는 설명입니다. 사용자 비밀 정보에 대해서는 "User secrets generate secret scanning alerts when found in public or private repositories."라고 적었습니다.

작성자 판단으로는 공개 저장소에 키를 올린 학생의 앱이 갑자기 Lovable 호출에 실패할 수 있습니다. 공급자가 키를 폐기하면 앱은 새 키를 받기 전까지 동작하지 않기 때문입니다. 새 형식이 푸시 단계에서 차단되는지, 개인 무료 계정의 비공개 저장소에서도 경고가 뜨는지는 변경 기록에 적혀 있지 않아 확인하지 못했습니다.

2. 10월 7일: 형식이 없는 비밀번호까지 읽는 전용 모델

10월 7일 변경 기록은 새 모델을 이렇게 설명합니다. "It reads surrounding code to identify likely credentials, including passwords without a recognizable token format, without generating code or prose." 주변 코드를 읽고 자격 증명일 가능성이 높은 값을 찾으며, 정해진 토큰 형식이 없는 비밀번호도 대상에 들어간다는 뜻입니다. 코드나 글은 만들지 않는다고 밝혔습니다.

1번의 형식별 탐지는 lovable_api_key처럼 공급자가 정한 형식을 찾습니다. 학생이 데이터베이스 비밀번호를 password = "..."처럼 직접 적었다면(예시) 정해진 형식이 없으므로, 이런 값은 새 모델이 주변 코드를 읽어 찾습니다. GitHub는 이 모델을 비밀 정보 스캔 경고, 푸시 보호(push protection, 푸시하는 시점에 비밀 정보를 막는 기능), Copilot 보안 검토에 적용할 계획이라고 밝혔습니다. 기능마다 제공 상태와 비용이 다릅니다.

3. 무엇이 포함되고 무엇이 AI Credits를 쓰는가

아래 표는 두 변경 기록에 적힌 제공 상태와 비용을 기능별로 옮겼습니다.

기능	제공 상태	필요한 라이선스·요금제	비용
형식별 탐지(10월 5일 추가 형식)	변경 기록에 "now detects"로 표기	변경 기록에 적혀 있지 않음	변경 기록에 적혀 있지 않음
AI 탐지 경고	기존 고객은 새 모델로 자동 전환, GHES 3.23은 공개 프리뷰 예정	GHSP 또는 GHAS	추가 비용 없음
푸시 보호의 AI 탐지	비공개 프리뷰	GitHub Team 또는 GitHub Enterprise Cloud에서 GHSP·GHAS 구매, 관리자가 켜야 함	AI Credits, 저장소를 소유한 조직에 청구
/security-review의 비밀 정보 검사	비공개 프리뷰 예정, 기본값 꺼짐	GHSP·GHAS 필요 없음, 개인 Copilot Free·Student도 대상	AI Credits, 사용 중인 Copilot 요금제의 청구 계정에 부과

GHSP는 GitHub Secret Protection, GHAS는 GitHub Advanced Security의 줄임말로, GitHub의 유료 보안 라이선스 이름입니다. 변경 기록은 푸시 보호 검사가 푸시를 막지 않았더라도 크레딧을 쓸 수 있다고 적었습니다. AI Credits 사용은 앞으로 몇 주 안에 도입되고, 공개 프리뷰에 참여해 기능을 켠 다음부터 청구된다고 밝혔습니다. 크레딧 단가는 변경 기록에 없어 확인하지 못했습니다.

커밋하기 전, 푸시할 때, 저장소에 올라간 뒤로 나눠 검사 기능과 제공 상태·비용을 표시했습니다. 기능 이름·제공 상태·비용은 GitHub의 2026년 10월 5일·7일 변경 기록에 적힌 내용이고, 단계별 배치, 비용 항목의 인디고색 표시, 맨 아래 확인하지 못한 단가 메모는 작성자가 구성했습니다.

4. 학생·직원 계정에서 기대할 수 있는 범위

변경 기록에 따르면 형식이 없는 비밀번호를 경고나 푸시 보호로 잡아 주는 기능은 GHSP 또는 GHAS가 있는 조직에서 쓸 수 있습니다. 변경 기록은 이 라이선스가 없는 개인 저장소에서 AI 탐지 경고가 어떻게 되는지는 적지 않았습니다. 그래서 작성자는 개인 계정으로 실습하는 학생이 AI 탐지를 자동으로 받는다고 안내하지 않는 편이 맞다고 봅니다.

개인 Copilot 요금제를 쓰는 학생이 쓸 수 있는 것은 /security-review의 비밀 정보 검사입니다. 변경 기록은 지원되는 Copilot CLI나 Copilot 앱 세션에서 커밋·푸시·풀 리퀘스트 검토 요청 전에 /security-review를 쓰라고 안내합니다. 다만 새 검사는 "The new checks will be off by default."라고 밝혔고, 명령을 실행해도 자동으로 켜지지 않는다고 적었습니다.

변경 기록에는 "Agents shouldn’t enable credit-consuming features or change policies or budgets without explicit authorization."라는 문장도 있습니다. 실습에서 AI 코딩 에이전트에게 저장소 작업을 맡긴다면, 에이전트가 크레딧을 쓰는 기능을 켜거나 예산을 바꾸지 않도록 지시문에 적어 두십시오.

5. 관리자가 켜기 전에 정할 예산

공식 변경 기록에 따르면 변경 기록은 조직·엔터프라이즈 관리자가 정책으로 새 기능을 끄고 AI Credits 예산을 정할 수 있게 된다고 안내합니다. 전용 예산은 Billing and licensing에서 Budgets and alerts를 고른 뒤 SKU-level budget, 제품 Advanced Security, SKU Secret Protection AI Credits를 선택해 만든다고 안내합니다.

변경 기록은 예산 알림만으로는 사용이 멈추지 않는다고 적었습니다. 사용 상한이 필요하면 지원되는 곳에서 Stop usage when budget limit is reached를 설정하라고 안내합니다. 이미 비공개 프리뷰로 푸시 보호의 AI 탐지를 쓰고 있다면, 과금이 시작된 뒤에도 계속 쓰면 크레딧이 소모되므로 원하지 않으면 미리 끄라고 적었습니다.

6. 이번 주 실습 저장소에서 확인할 것

수업이나 사내 실습에 쓰는 GitHub 조직 1곳을 골라 요금제가 Free, Team, Enterprise Cloud 중 무엇인지, GHSP·GHAS가 있는지 확인하십시오. 결과를 3번 표에 대 보면 학생 저장소에서 자동 탐지가 어디까지 되는지 알 수 있습니다. 라이선스가 없다면 실습 안내문에 공개 저장소에 올린 Lovable 키는 폐기·교체될 수 있다는 점과 새 키를 발급받는 순서를 적어 두십시오. 크레딧을 쓰는 검사를 켜기로 했다면 켜기 전에 Secret Protection AI Credits 예산과 사용 중지 설정부터 만들어 두면 됩니다.