Copilot CLI의 보안 검토 명령 추가
Copilot CLI에서 현재 변경 사항을 검사하는 /security-review 명령이 실험 기능으로 추가됐다.
교안에 영향
기존에 GitHub code scanning, Dependabot, GitHub secret scanning만 안내한 글은 Copilot CLI의 별도 보안 검토 기능을 빠뜨리게 된다.
요약
- /security-review로 로컬 코드 변경 사항을 직접 보안 검토할 수 있다. - 심각도와 신뢰도로 평가된 보안 발견 사항과 바로 적용할 수 있는 제안을 제공한다. - 주입 결함, XSS, 권한 제어 문제, 경로 탐색, SSRF 등 11개 범주의 취약점을 점검한다. - GitHub code scanning, Dependabot, GitHub secret scanning과는 별개로 사전 검토용으로 보완한다.
바뀐 것
새 기능
- Copilot CLI에 실험 기능인 /security-review 명령이 추가됐다.
- /security-review가 로컬 코드 변경 사항을 분석해 보안 발견 사항을 반환한다.
- 발견 사항을 심각도와 신뢰도로 점수화해 보여준다.
- 터미널을 벗어나지 않고 적용할 수 있는 실행 가능한 제안을 제공한다.
- 주입 결함, XSS, broken access control, path traversal, SSRF, insecure deserialization, prototype pollution, weak cryptography, hardcoded credentials, sensitive data leaks, authentication and CORS failures, security misconfigurations, unpinned dependencies 같은 공급망 위험, cross-prompt injection (XPIA)까지 11개 범
기타
- 이 검사는 GitHub code scanning, Dependabot, GitHub secret scanning에 의존하지 않는 Copilot 기반 검사다.
- 실험 모드를 켠 뒤 어떤 프로젝트에서든 /security-review를 실행해 현재 변경 사항을 검사할 수 있다.