GitHub, 비밀정보 탐지 유형 5개 추가 발표…통보와 폐기는 별개

개발팀이 이번 발표에서 확인할 핵심은 탐지 대상의 확대와 후속 처리의 범위다. GitHub는 10월 5일 공지에서 세 제공사의 비밀정보 유형 다섯 개를 신규 탐지 대상으로 제시했다. 다만 제공된 자료는 회사 발표이며, 실제 탐지 동작이나 정확도를 시험한 결과는 포함하지 않는다.

대상은 Lovable의 API 키, Pydantic의 로그파이어 토큰과 AI 게이트웨이 API 키, Supabase의 OAuth 접근 토큰과 범위가 지정된 개인 접근 토큰이다. 한국 개발팀도 해당 서비스를 사용한다면 보유한 자격증명 종류와 발표된 유형을 대조할 수 있다. 서비스 이름이 포함됐다는 이유만으로 그 서비스의 모든 비밀정보가 탐지된다고 해석해서는 안 된다.

알림을 누가 받는지도 구분해야 한다. GitHub는 공개 저장소에서 발견한 파트너 비밀정보를 발급사에 전달하는 절차를 설명했다. 반면 사용자 비밀정보의 탐지 알림은 공개 저장소와 비공개 저장소를 대상으로 설명했다. 발급사 자동 통보에 관한 설명을 비공개 저장소 전체로 넓혀 읽을 근거는 이번 메모에 없다.

GitHub는 Lovable의 비밀정보 탐지 파트너 프로그램 참여도 발표했다. 그러나 개별 자격증명이 실제로 폐기되거나 교체됐는지는 제시하지 않았다. 따라서 발급사에 정보가 전달되는 단계와 유출 가능성이 있는 키를 무효화하는 단계는 따로 확인할 사안이다. 탐지 알림만으로 후속 대응이 끝났다고 판단할 수는 없다.

저장소 밖의 노출 경로는 별도 배경 자료가 보여준다. Rust 보안 대응팀은 9월 21일, Miri 실행 때 환경변수가 target 디렉터리에 저장돼 CI 캐시에 비밀정보가 남을 수 있다고 보고했다. 설명된 조건은 CI의 cargo miri 실행, 해당 단계에 비밀정보를 환경변수로 제공, target 캐싱, PR의 캐시 접근 가능성이 함께 있는 구성이다. 이 메모에서는 현상을 재현하지 않았다.

Rust 팀은 영향 구성에 대해 캐시 중단, 비밀정보 제공 범위 제한, Miri 임시 중단 등을 안내했다. 조치 뒤에는 기존 캐시 삭제와 노출 가능성이 있는 비밀정보의 교체 검토도 제시했다. 환경변수 보존 범위를 줄이는 수정은 9월 22일 예정 nightly에 반영될 것이라고 안내했지만, 제공 자료에는 실제 배포·시험 결과가 없다. GitHub의 신규 탐지기가 이 캐시 문제를 해결한다는 근거도 없다.