GitHub, Anthropic 새 키 두 종류 기본 푸시 차단…Salesforce 파트너 추가

Anthropic 두 키 유형을 사전 차단 대상에 추가

깃허브는 10월 13일 시크릿 스캐닝에 앤스로픽의 서비스 계정 API 키와 사용자 API 키, 클라우드스미스 API 키 탐지를 추가했다고 발표했다. 식별자는 각각 anthropic_service_api_key, anthropic_user_api_key, cloudsmith_api_key다. 이 가운데 기본 푸시 보호 대상으로 새로 명시한 것은 앤스로픽 두 유형이다.

공지에 따르면 시크릿 스캐닝이 활성화된 저장소에는 무료 공개 저장소도 포함되며, 해당 앤스로픽 키가 들어 있는 커밋을 푸시 보호로 차단한다. 탐지 유형이 늘어난 사실과 특정 유형의 사전 차단이 추가된 사실을 함께 봐야 한다. 이번 발표가 추가한 모든 공급사의 키에 같은 기본 차단 조건을 부여하는 것은 아니다.

Salesforce 통보는 발급사 대응으로 이어지는 경로

세일즈포스는 시크릿 스캐닝 파트너에 합류했다. 공지에 나온 대상은 salesforce_marketing_cloud_api_oauth2_token이다. 공개 저장소에서 파트너 비밀키를 발견하면 깃허브가 발급사에 전달하고, 발급사가 폐기나 교체 같은 조치를 할 수 있다. 깃허브가 전달했다는 사실만으로 토큰이 이미 자동 폐기됐다고 판단할 수는 없다.

파트너 통보와 저장소 사용자 경고도 구분된다. 공식 패턴 문서는 파트너 경고를 발급사에 직접 보내는 경로로, 사용자 경고를 저장소의 Security and quality 화면에 표시하는 경로로 설명한다. 따라서 보안팀은 공급사로의 통보 여부와 저장소에서 추적하는 경고 상태를 각각 확인할 필요가 있다.

새 키 지원은 기존 이력 점검에도 관련된다

시크릿 스캐닝은 모든 브랜치의 전체 깃 이력에서 지원되는 자격 증명을 탐지하고, 새 유형이 추가되면 저장소를 주기적으로 다시 검사한다. 푸시 전에 잡지 못했거나 탐지기 도입 이전에 들어간 키를 찾는 역할도 있다. 현재 브랜치 파일에서 문자열을 지웠다는 이유만으로 노출 이력이 사라지는 것은 아니다.

공식 안내는 키 유출 경고를 받으면 해당 자격 증명을 즉시 교체하라고 권고한다. 이력 정리보다 발급사에서 키의 사용 가능성을 끊는 조치가 우선이라는 의미다. 개발팀이 탐지 경고를 코드 수정 작업으로만 배정하면, 저장소 밖에서도 계속 쓸 수 있는 키의 위험을 놓칠 수 있다.

기본 패턴과 저장소 전체의 보호 설정은 별개

푸시 보호 문서는 저장소 단위 보호와 사용자 단위 보호를 나눈다. 저장소 보호는 관리자 등이 켜는 기능이고, 사용자 보호는 깃허브닷컴의 공개 저장소로 보내는 푸시에 기본 적용된다. 이번 공지의 기본 차단 패턴 확대를 조직의 모든 비공개 저장소 보호가 자동 활성화됐다는 뜻으로 읽어서는 안 된다.

공개 저장소의 시크릿 스캐닝은 무료로 자동 실행된다. 조직 소유 비공개·내부 저장소는 Team 또는 Enterprise Cloud에서 GitHub Secret Protection 활성화가 필요하다는 것이 지원 문서의 조건이다. 저장소 공개 범위와 제품 활성화 상태를 함께 확인해야 새 탐지기가 실제 업무 경로에 적용되는지 알 수 있다.

차단 뒤의 우회와 예외도 관리 대상이다

푸시 보호가 비밀키를 찾으면 푸시를 막고 원인을 안내한다. 개발자는 민감한 값을 제거한 뒤 다시 보낼 수 있다. 저장소 단위 보호에서는 기본적으로 쓰기 권한 보유자가 사유를 지정해 우회할 수 있으며, 우회 시 경고와 감사 로그가 생성된다. 조직은 위임된 우회 설정으로 승인 가능 주체를 더 제한할 수 있다.

따라서 차단 횟수만으로 유출 방지 성과를 판단하기보다 우회 사유와 아직 열린 경고를 함께 보는 편이 타당하다. 테스트용 값이라는 이유와 나중에 수정하겠다는 이유는 같은 처리 결과를 만들지 않는다. 공식 문서상 후자는 열린 경고로 남는다.

탐지 지원과 유효성 검사는 다른 능력이다

지원 표에서 새 앤스로픽 서비스·사용자 키는 사용자 경고와 파트너 통보, 푸시 보호를 지원하지만 유효성 검사는 지원하지 않는다. 키 형태를 찾아 차단하는 일과 지금도 발급사에서 사용할 수 있는지 확인하는 일은 다르다. 또한 푸시 보호는 오탐을 줄이기 위해 확신할 수 있는 최신 토큰 형식을 중심으로 지원한다. 이번 확대는 대응 범위를 넓히지만 모든 세대의 키나 모든 비밀정보를 빠짐없이 확인한다는 보장은 아니다.