GitHub이 10월 13일 Secret Scanning 업데이트를 내놨습니다. 핵심은 한 줄입니다.

Anthropic 키 2종 → 기본으로 푸시 차단
+ Salesforce·Cloudsmith 비밀 유형 탐지 추가

AI 코딩 도구를 쓰는 팀이라면 그냥 지나치면 안 되는 변경입니다. 에이전트가 설정 파일을 대신 커밋하는 시대에 키 유출 경로가 바뀌었기 때문입니다.

무엇이 바뀌었나: 탐지와 차단, 두 가지

헷갈리기 쉬우니 먼저 나눠보겠습니다.

탐지 (Secret Scanning)
  → 기록에 남은 키를 찾아 알림
  → Secret Scanning이 켜진 저장소에서 동작

차단 (Push Protection)
  → 키가 기록에 남기 전에 푸시를 막음
  → Anthropic 2종은 기본 포함으로 격상

이번에 추가된 Anthropic 유형은 서비스 키와 사용자 키입니다. Secret Scanning이 켜진 저장소에서는 이 키가 든 커밋이 푸시 시점에 차단됩니다. Salesforce와 Cloudsmith 유형도 탐지 대상에 새로 들어왔습니다.

배경도 있습니다. 일주일 전인 10월 7일에는 코드 문맥을 읽는 전용 유출 탐지 모델이 나왔습니다. 토큰처럼 생긴 문자열이 아니라 주변 코드를 보고 비밀번호를 판단하는 방식입니다. 탐지 쪽은 AI로 넓히고, 차단 쪽은 기본값으로 막는 양쪽 전략입니다.

왜 지금 Anthropic 키인가

이유는 어렵지 않습니다. AI 코딩 에이전트가 코드를 대신 쓰고, 그 과정에서 설정·환경 파일을 함께 만지기 때문입니다.

예전 유출: 사람이 .env를 실수로 add
요즘 유출: 에이전트가 생성한 config에 키가 들어가
          리뷰 없이 커밋·푸시까지 감

Anthropic 키는 Claude Code 같은 도구가 일상화된 지금 가장 많이 오가는 자격 증명 중 하나입니다. 키가 한 번 기록에 남으면 폐기·교체 비용이 들고, AI 리셀러·프록시 경유 같은 2차 악용으로도 이어질 수 있습니다. 푸시 전에 막는 게 가장 싼 대응입니다.

CodeBridge Mini Lab: 저장소 10분 점검

오늘 10분만 내서 다음을 확인해 보세요.

[ ] 조직·저장소에 Secret Scanning이 켜져 있는가
[ ] Push Protection이 켜져 있는가 (저장소·조직·엔터프라이즈 중 어디에)
[ ] 우회 사유 필수 + 우회 알림이 Security 탭에 남는가
[ ] .env·키 파일이 .gitignore에 있는가 (차단과 별개로 1차 방어)
[ ] 유출 시 폐기·교체 담당과 절차가 정해져 있는가

자주 놓치는 게 적용 범위입니다. 보호는 Secret Scanning이 켜진 곳에서만 돕니다. “GitHub가 막아주겠지”라고 믿기 전에 커버리지를 먼저 보세요. 공개 저장소는 무료로도 차단이 걸리지만, 비공개 저장소는 플랜에 따라 다릅니다.

로컬 습관도 같이 잡으면 좋습니다.

git diff --cached를 푸시 전에 한 번 훑기
→ sk-ant-로 시작하는 문자열이 보이는가
→ 새로 생긴 config에 환경값이 하드코딩됐는가
→ 에이전트가 만든 파일은 사람이 한 번 더 보기

함께 쓰면 좋은 기존 장치들

이번 변경은 단독으로 쓰기보다 기존 게이트와 묶을 때 빛납니다.

push protection (푸시 시점 차단)
+ /security-review (Copilot으로 푸시 전 리뷰)
+ 문맥 기반 탐지 (기록 후에도 찾아냄)
→ 커밋→푸시→PR 흐름에 겹겹이 배치

문맥 기반 비밀 탐지 글에서 다룬 오탐·실제 방지 분리 기록도 이어가세요. 막힌 건수만 세면 개발자 신뢰가 깎이는지 안 보입니다.

결론: 유출 대응에서 유출 예방으로

한 줄로 정리합니다.

키 유출은 사고 대응이 아니라 푸시 게이트의 문제다.

AI가 커밋하는 시대에는 사람의 주의력보다 플랫폼의 차단이 앞섭니다. 저장소 설정 10분 점검과 에이전트 생성 파일 리뷰, 이 두 가지만 오늘 해도 다음 유출 확률이 내려갑니다.

함께 읽으면 좋은 글

참고 자료

이 주제를 직접 따라가며 배우고 싶다면

Agent·Plan 모드로 실제 프로젝트를 구현하고 테스트하는 흐름에 보안 게이트까지 붙여보고 싶다면, Copilot을 자동완성 이상으로 쓰는 과정이 이 글의 푸시 게이트 이야기와 바로 이어집니다.