Do I need to choose a model to enable AI Scan?

No. GitHub’s documented enablement process does not require selecting an inference model.

Can a repository admin enable it while the organization disables it?

Not for an organization-owned repository under the documented policy model. The effective organization setting must permit it.

Does a Copilot license alone establish repository eligibility?

No. Check ownership, visibility, code-security requirements, and policy. GitHub states a Copilot license is not required for AI Scan itself.

Should a clean PR result replace review?

No. Findings are advisory and incomplete security evidence; keep appropriate human review and existing enforceable checks.

자체 호스팅 앱 저장소에서 GitHub AI 스캔을 활성화하는 방법

에바 왕

IceWhale author

에바 왕 는 기술 작가 그리고 이자 ZimaSpace의 상주 장인입니다. 평생을 기술에 열정을 가진 사람으로서 홈랩과 오픈소스 소프트웨어에 열정을 가지고 있으며,복잡한 기술 개념을 쉽게 이해할 수 있는 실습 가이드로 번역하는 데 전문성을 가지고 있습니다.에바는 셀프 호스팅이 어렵지 않고 재미있어야 한다고 믿습니다. 그녀의 튜토리얼을 통해 커뮤니티가 하드웨어 설정의 신비를 풀도록돕고 있습니다. 첫 NAS 구축부터 Docker 컨테이너 마스터링까지.

GitHub AI Scan official announcement cover artwork

GitHub AI Scan을 활성화하려면 먼저 저장소의 소유자가 누구인지, 사용할 자격이 있는지 확인하세요. 그런 다음 코드 스캔, 실제 AI Scan 설정, 결제 예산을 확인하세요. 조직 소유 저장소에는 조직 설정이 적용됩니다. 저장소 관리자는 조직 설정이 비활성화된 경우 로컬 옵션만 전환해서 이를 무시할 수 없습니다.

직접 관리하는 프로젝트 하나와 지원되는 변경 사항이 포함된 일반적인 동일 저장소 풀 리퀘스트로 시작하세요. 스캐너가 알아채는지 확인하려고 악용 가능한 버그를 일부러 넣지 마세요. 기능의 실제 설정을 확인하고, 일반적인 사람의 검토 절차를 유지하면서 생성된 발견 항목을 살펴보세요.

내 저장소가 AI Scan을 사용할 수 있나요?

GitHub 문서에 따르면 공개 저장소가 지원되며, 비공개 또는 내부 조직 저장소에는 추가 라이선스 요건이 있습니다. 현재 문서 기준으로 개인 비공개 저장소는 사용할 수 없습니다. 관리형 사용자 개인 네임스페이스에는 추가 제한이 적용됩니다. 인터페이스 문제를 해결하기 전에 현재 소유권 및 공개 범위 매트릭스를 확인하세요.

AI Scan 개요에서 적용 범위를 설명합니다. 제어 기능이 보이지 않는다면 저장소 오류가 아니라 자격 요건이나 정책 때문일 수 있습니다.

어떤 설정과 정책을 활성화해야 하나요?

수준	확인할 사항
해당하는 경우 엔터프라이즈	정책에 따라 조직에서 AI Scan을 활성화할 수 있음
조직	적격 저장소에서 AI Scan 활성화
저장소	코드 스캔이 활성화되고 유효한 AI Scan 상태가 허용됨
개인 공개 저장소	관리자가 코드 스캔 설정에서 AI Scan 제어 기능을 활성화
결제	포함된 크레딧 및 종량제 사용 예산으로 스캔 허용

계정 유형에 맞는 공식 안내를 확인하세요. 엔터프라이즈에 크레딧이 할당되어 있어도 기능이 자동으로 켜지지는 않으며, 조직에서 활성화하면 적격 저장소에 즉시 영향을 줄 수 있습니다.

사용을 활성화하기 전에 사용량을 어떻게 설정해야 하나요?

사용량을 책임지는 계정을 확인하고, 사용 가능한 Code Security AI 크레딧과 예산 한도를 검토하세요. 지출을 모니터링할 사람과 예산을 조정할 사람을 정하세요. 적격 풀 리퀘스트에서 설명되지 않는 사용량이 발생하지 않도록 조직 전체에 적용하기 전에 이 작업을 마치세요.

스캔을 막는 예산도 문서화해야 할 운영 조건입니다. 발견된 항목이 없다고 해서 변경 사항을 검토했다는 증거로 해석하지 마세요.

풀 리퀘스트가 범위에 포함되는지 어떻게 확인하나요?

동일한 저장소에서 지원되는 관련 언어 변경 사항이 포함된 일반 PR을 사용하세요. 포크 및 Dependabot 풀 리퀘스트는 문서화된 범위에 포함되지 않습니다. 유효한 기능 설정을 확인하고 PR의 대화 및 변경된 파일 보기에서 AI로 표시된 발견 항목이 있는지 살펴보세요.

대상에 해당하는 검사에서 발견 항목이 없을 수도 있습니다. 그렇다고 엔진이 실패했다거나 코드가 안전하다는 의미는 아닙니다. CodeQL 비교에서 두 신호가 다른 이유를 설명합니다.

유용한 발견 항목이 있으면 어떻게 해야 하나요?

경로와 제안된 수정 사항을 검토하고, 타당하다면 범위를 한정해 수정한 뒤 관련 동작을 확인하세요. AI Scan 발견 항목은 병합을 차단하지 않으므로 필수 검토와 기존의 강제 적용 가능한 검사를 유지하세요. 배포 시에도 일반적인 지원 업데이트 및 복구 절차를 따라야 합니다.

NAS에서 호스팅하는 PHP 앱의 경우 Docker 업데이트 가이드와 런타임 패치 검증 워크플로를 참고해 승인된 소스 변경 사항이 실제로 운영 중인 서비스에 적용되도록 하세요.