Should AI Scan replace CodeQL?

No automatic replacement follows. Its documented role is complementary coverage for selected languages and frameworks.

Are AI Scan findings ordinary backlog alerts?

No. GitHub documents them as pull-request findings rather than full-repository backlog alerts in the security view.

Can I require every AI Scan finding to pass a ruleset?

No. AI Scan findings are advisory and do not enforce merge requirements.

Does passing code scanning prove the deployed NAS app is patched?

No. Verify the built and running revision, applicable runtime fix, and focused service behavior separately.

GitHub AI Scan과 CodeQL 비교: 커버리지, 탐지 결과, 병합 제어

에바 왕

IceWhale author

에바 왕 는 기술 작가 그리고 이자 ZimaSpace의 상주 장인입니다. 평생을 기술에 열정을 가진 사람으로서 홈랩과 오픈소스 소프트웨어에 열정을 가지고 있으며,복잡한 기술 개념을 쉽게 이해할 수 있는 실습 가이드로 번역하는 데 전문성을 가지고 있습니다.에바는 셀프 호스팅이 어렵지 않고 재미있어야 한다고 믿습니다. 그녀의 튜토리얼을 통해 커뮤니티가 하드웨어 설정의 신비를 풀도록돕고 있습니다. 첫 NAS 구축부터 Docker 컨테이너 마스터링까지.

GitHub AI Scan official announcement cover artwork

문서에 명시된 언어 및 프레임워크 지원 범위가 풀 리퀘스트 검토에 도움이 되는 경우 GitHub AI Scan을 CodeQL의 보완 도구로 사용하세요. 지원되는 분석 및 알림 워크플로에는 CodeQL을 계속 사용하세요. 두 도구는 서로 대체할 수 있는 제어 기능이 아닙니다. AI Scan 결과는 PR에서만 제공되는 권고 신호이며 규칙 집합을 통해 병합을 차단할 수 없습니다.

셀프 호스팅 애플리케이션 저장소에 적합한 조합은 사용 언어와 배포 절차에 따라 다릅니다. 어느 스캐너도 취약한 런타임 업데이트나 실제 운영 중인 애플리케이션 점검을 대신하지는 않습니다. 소스 검토, 지원되는 변경 사항 배포, 서비스 확인을 각각 진행하세요.

지원 범위와 결과는 어떻게 다른가요?

항목	AI Scan	CodeQL
주요 지원 범위	CodeQL이 다루지 않는 일부 영역	지원되는 언어 및 설정된 분석
주요 결과 표시 위치	AI로 분류된 풀 리퀘스트 결과	코드 스캔 알림 및 PR 결과
전체 저장소의 누적 문제	AI Scan에서 지원되지 않음	설정된 분석에 따라 다름
병합 제어	권고 사항이며 규칙 집합 요구 사항으로 적용할 수 없음	지원되는 코드 스캔 제어 항목은 설정에 따라 다름
관계	상호 보완적인 신호	기존 분석 및 알림 워크플로

영구적으로 구분된다고 가정하지 말고 현재 언어 지원을 확인하세요. GitHub는 두 제품의 지원 범위를 확장하거나 변경할 수 있습니다.

PHP, Shell, Dockerfile에는 어떤 도구가 도움이 되나요?

GitHub는 이를 AI Scan이 지원하는 예시로 안내합니다. 따라서 앱, 유지 관리 스크립트, 컨테이너 구성을 결합한 저장소에 유용합니다. 실제 변경된 파일과 PR의 적격 여부를 확인하세요. 포크와 Dependabot 제외는 계속 적용됩니다.

AI Scan 설명에서 운영상 한계를 다룹니다. Dockerfile에서 문제가 발견됐다고 해서 배포된 이미지의 모든 레이어가 취약점 검사를 받았다는 뜻은 아닙니다.

두 도구 중 하나를 병합 조건으로 사용할 수 있나요?

AI Scan의 권고 결과는 병합 요건으로 설정할 수 없으므로 검토 참고 자료로 활용하세요. CodeQL 및 다른 검사 항목은 저장소에서 지원되는 코드 스캔 보호 및 규칙 집합 옵션을 확인하세요. 두 결과가 같은 PR에 표시된다는 이유만으로 필수 검사 정책이 AI Scan에도 적용된다고 추정하지 마세요.

어떤 제어 항목이 실제로 병합을 차단하고, 어떤 항목에 검토자의 판단이 필요하며, 누가 이를 우회할 수 있는지 문서화하세요. 대시보드에 두 도구가 모두 표시된다고 해서 동일한 방식으로 적용된다는 뜻은 아닙니다.

AI Scan을 추가하려면 CodeQL을 교체해야 하나요?

아니요. 문서에 명시된 목적은 보완적 검사입니다. 먼저 저장소의 언어와 검사 공백을 파악하고 기능 사용 자격 및 청구 사항을 확인한 다음, 유용한 곳에 추가 검사 신호를 활성화하세요. 새로운 AI 기능을 사용할 수 있다는 이유만으로 정상적으로 작동하는 분석 기능을 제거하지 마세요.

AI Scan 설정 가이드를 참고해 실제 적용되는 정책을 확인하세요. 여러 프로젝트에 걸쳐 활성화 범위를 확대하기 전에 범위에 포함되는 일반적인 변경 사항을 검토하세요.