AI 뉴스 — 깃허브가 방패를 두 겹 올렸습니다

3줄 브리핑

7월 28일 깃허브 공식 체인지로그에 보안 기능 두 개가 동시에 올라왔습니다. 첫째, GitHub Actions가 악성으로 의심되는 워크플로 실행을 시작 전에 자동으로 붙잡습니다. 공개 저장소에서 의심 신호가 감지되면 워크플로가 실행되지 않고, 쓰기 권한이 있는 협업자가 웹에서 승인해야 진행됩니다. 공식 문서 표현 그대로 '설정할 필요가 없습니다 — 깃허브가 자동으로 적용합니다.' 배경은 탈취된 계정으로 악성 워크플로를 밀어 넣어 CI 자격증명을 훔치는 공급망 공격의 증가입니다.

둘째, Dependabot의 악성 패키지 경보가 확대됐습니다. OpenSSF(오픈소스 보안 재단)의 malicious-packages 데이터베이스를 깃허브 어드바이저리 DB가 자동 수집하면서, npm을 넘어 PyPI 등 다른 생태계의 악성 패키지도 경보 대상이 됐습니다. 알림을 이미 켜둔 저장소는 추가 설정 없이 적용됩니다.

클로드코드 쓰는 우리에게 중요한 이유 — 바이브코딩에서는 패키지를 사람이 고르지 않고 AI가 알아서 설치합니다. 악성 패키지가 섞여도 눈으로 볼 기회가 없죠. 그 빈틈을 플랫폼이 한 겹 걸러주게 된 겁니다. 그래도 습관 하나는 유지하세요 — 처음 보는 패키지가 깔리면 클로드코드에 '이 패키지가 뭔지, 믿을 만한지 확인해줘'라고 시키는 것. 같은 날 소식으로 Grok 4.5의 깃허브 코파일럿 탑재, Cursor의 인도 월정액 출시도 있었습니다 — 에이전트 코딩 도구 경쟁은 계속 빨라지고 있습니다.