GitHub Copilot, 시작 시 최신 관리 정책 확인과 샌드박스 최소 버전 강제

시작할 때 정책의 최신성을 확인한다

깃허브는 10월 13일 엔터프라이즈 관리자가 지원되는 코파일럿 클라이언트에 최신 서버 정책 확인을 요구할 수 있다고 발표했다. forceRemoteSettingsRefresh를 true로 지정하면 시작 시 저장된 정책만으로 확인을 끝낼 수 없다. 대상은 코파일럿 CLI, 비주얼 스튜디오 코드, 깃허브 코파일럿 앱이다. 기업이 배포한 규칙과 실제 실행 시점 사이의 간격을 줄이는 변경이다.

이 설정이 없는 환경은 기존 관리 설정 캐시를 계속 사용한다. 캐시는 시작을 빠르게 하고 일시적인 서비스 장애 때 사용을 이어 가는 역할을 한다. 새 옵션은 모든 사용자에게 캐시를 없애는 변경이 아니라, 관리자가 정책 최신성을 시작 조건으로 선택하는 수단이다.

최초 실행부터 요구하려면 장치 배포가 필요하다

적용 시점은 전달 경로에 따라 갈린다. 장치 관리 도구인 MDM이나 파일로 설정을 배포하면 사용자가 처음 로그인하기 전부터 최신성 확인을 요구할 수 있다. 반면 서버에서 전달하는 값은 클라이언트가 한 번 받아야 효력이 생기며, 이후 시작부터 갱신을 강제한다. 서버에 값을 올려 두는 것만으로 아직 로그인하지 않은 새 장치까지 사전 통제되는 구조는 아니다.

연결 실패 때 계속 실행할지의 선택

공식 명세에 따르면 CLI와 코파일럿 앱에서는 이 설정이 평소의 한 시간 캐시를 건너뛰며, 다운로드가 실패해도 예전 정책으로 되돌아가지 않는다. 확인이 안 된 정책에 영향을 받는 작업은 제한된다. VS Code에서는 필요한 갱신이 성공할 때까지 코파일럿 기능이 차단된다. 출근길이나 오프라인 개발 환경에서는 네트워크 연결 여부가 시작 가능성을 좌우할 수 있다.

따라서 도입 판단에는 정책 변경의 시급성과 정책 서버에 연결하지 못하는 업무 환경을 함께 넣어야 한다. 유출된 도구 접근을 즉시 막아야 하는 조직과 연결이 불안정한 현장 개발팀의 우선순위는 다를 수 있다. 먼저 제한된 장치 집단에서 시작 실패 대응 절차를 확인하는 방식이 합리적이다. 이는 기능의 실패 시 제한 동작에서 도출한 운영상 해석이다.

샌드박스 정책을 읽는 클라이언트 버전도 통제한다

두 번째 변경은 관리 설정의 sandbox 키에 필요한 최소 클라이언트 버전을 강제하는 것이다. 이 키를 배포한 경우 오래된 버전에 고정한 사용자는 코파일럿을 다시 사용하려면 업데이트해야 한다. 깃허브는 거버넌스 관련 키에 이런 요구를 순차적으로 추가하며 샌드박스부터 시작한다고 설명했다. 모든 설정 키가 동시에 같은 버전 제한을 받는다는 발표는 아니다.

샌드박스의 적용 범위와 필수 실행은 구분된다

관리 샌드박스 명세는 CLI, VS Code의 코파일럿 Agent Host 세션, 코파일럿 앱을 대상으로 한다. VS Code 지원은 1.138.0 이상 Agent Host의 내장 샌드박스에 해당하며 모든 채팅 세션과 터미널에 일괄 적용되지 않는다. 또한 sandbox.enabled를 켜는 것과, 백엔드가 정책을 적용할 수 없을 때 실행 자체를 막는 failIfUnavailable은 다른 설정이다. 후자는 enabled가 함께 켜져 있어야 필수 실행 조건이 된다.

이 차이는 버전 업데이트 확인과 실제 통제 확인을 분리해야 함을 보여 준다. 최신 버전이 설치돼 있어도 사용하는 세션 종류와 하위 정책에 따라 제한 범위가 달라진다. 운영자는 배포 완료 수치에 더해 지원되는 세션에서 정책 적용 결과를 확인해야 한다.

배포 경로별 대상과 값의 형식 확인

서버 관리 설정은 기업에서 코파일럿 라이선스를 받는 사용자의 로그인 계정에 연결된다. MDM과 파일 배포는 로컬 클라이언트에 적용되고 라이선스를 어디서 받았는지와 무관하다. 계정 전환 뒤에도 장치 설정이 유지되는 이유다. JSON 파일에서는 true를 불리언으로 쓰지만, CLI용 윈도 레지스트리와 macOS 관리 환경설정에서는 true나 false가 담긴 문자열로 저장해야 한다. 같은 정책 이름을 쓰더라도 전달 대상과 값 형식을 맞춰야 시작 제한이 의도대로 작동한다.