Codex Security, 첫 스캔부터 PR 자동 보안 리뷰까지…오픈AI 사용법 영상 2편 공개
사진 유튜브 ‘OpenAI’ 영상 갈무리
오픈AI가 코드 보안 도구 'Codex Security'의 사용법을 담은 영상 2편을 공식 유튜브 채널에 올렸다. 11월 12일 공개된 영상은 각각 7분 분량이다. 하나는 처음 쓰는 사용자가 첫 보안 스캔을 돌리는 과정을, 다른 하나는 깃허브(GitHub) 풀 리퀘스트(PR)에 보안 리뷰를 붙이는 과정을 다룬다. 두 영상을 차례로 보면 도구 설치부터 개발 흐름 안에서 보안 점검을 자동으로 돌리는 단계까지 한 번에 익힐 수 있다.
첫 영상 「How to run your first Codex Security scan」은 입문편이다. 영상 설명에 따르면 플러그인 설치에서 시작해 첫 스캔을 실행하는 데까지 다룬다. 사용자는 검사할 저장소(repository)를 고르고, 스캔에 참고할 맥락(context)을 넣는다. 스캔이 끝나면 발견된 문제(findings)를 검토하고 패치를 만든다. 영상은 이렇게 만든 수정 사항이 깃허브로 넘어가는 과정까지 보여준다. 마지막으로 명령줄 도구(CLI)로 보안 스캔을 자동화 워크플로에 넣는 방법도 소개한다. 스캔을 사람이 그때그때 실행하는 데서 그치지 않고, 팀이 이미 쓰는 자동화 파이프라인에 넣는 쓰임새까지 염두에 둔 구성이다.
두 번째 영상 「How to enable PR security reviews with Codex Security」는 보안 리뷰를 풀 리퀘스트 워크플로 안으로 가져오는 방법을 설명한다. 풀 리퀘스트는 개발자가 고친 코드를 본 코드에 합치기 전에 동료에게 검토를 요청하는 단계다. 영상 설명을 보면 먼저 깃허브 연결 상태를 확인하고, 리뷰를 요청한 뒤, 지적된 문제를 고치고, 바뀐 코드를 다시 리뷰받는 흐름을 따라간다. 이어 저장소 단위로 자동 리뷰를 설정하는 방법을 다룬다. 여기에는 리뷰를 언제 실행할지 정하는 트리거와 어느 수준 이상의 문제를 잡아낼지 정하는 심각도 임계값(severity threshold) 설정이 들어간다.
두 영상은 하나의 흐름으로 이어진다. 첫 영상이 저장소 하나를 골라 직접 스캔하고 수정안을 받는 단발성 점검을 보여준다면, 두 번째 영상은 그 점검을 코드가 바뀔 때마다 돌아가는 상시 절차로 만드는 방법을 다룬다. 공통점은 보안 점검을 개발이 끝난 뒤 따로 하는 작업이 아니라 코드를 쓰고 합치는 과정 안에 넣는다는 점이다. 문제를 찾는 데서 끝나지 않고 패치 생성, 수정 반영, 재검토까지 한 도구 안에서 이어지도록 구성한 것도 눈에 띈다.
개발팀이 실제로 쓸 때 눈여겨볼 대목은 자동 리뷰 설정이다. 트리거와 심각도 임계값을 저장소별로 정할 수 있어, 팀은 모든 변경을 검사할지 특정 조건에서만 검사할지, 사소한 지적까지 받을지 심각한 문제만 받을지 고를 수 있다. 리뷰 알림이 너무 많으면 개발 속도가 떨어지고, 너무 적으면 위험을 놓칠 수 있다. 그 균형을 팀이 직접 맞추도록 한 설계로 읽힌다.
영상 제목과 설명은 영어로 되어 있으며, 두 편 모두 오픈AI 공식 유튜브 채널에서 볼 수 있다.
