GitHub은 2026년 3월 17일 AI coding agent가 commit이나 pull request를 열기 전에 GitHub MCP Server를 통해 secret scanning을 실행할 수 있다고 밝혔다. 이번 변화는 GitHub의 핵심 보안 제어 중 하나를 MCP 호환 IDE와 agent 워크플로 안으로 직접 가져온다는 의미가 있다. 자동화된 coding system이 코드를 생성하는 속도만큼 credential leak도 빠르게 만들 수 있기 때문이다.

GitHub 설명에 따르면 MCP Server는 개발자나 AI agent가 아직 로컬에서 작업 중일 때 코드 변경분을 검사해 노출된 secret을 찾을 수 있다. 사용자가 agent에게 secret 점검을 요청하면, agent는 MCP Server의 secret scanning 도구를 호출하고 관련 코드를 GitHub scanning engine으로 보낸다. 응답은 의심되는 secret의 위치와 탐지 세부 정보를 포함한 structured 결과로 돌아오기 때문에, 문제가 review나 CI 단계에 도달하기 전에 수정될 수 있다.

이 워크플로는 agentic development를 실험 중인 팀에 특히 중요하다. 많은 조직에서 secret scanning은 코드가 push된 뒤에야 가시화되기 때문에 branch, log, 협업 도구 등에서 우발적 노출이 일어날 여지가 있다. 탐지 시점을 더 앞당김으로써 GitHub은 secret scanning을 사후 정리 도구가 아니라 AI 보조 소프트웨어 전달을 위한 실시간 guardrail로 바꾸고 있는 셈이다.

GitHub은 이 기능이 GitHub Secret Protection이 활성화된 repository를 대상으로 public preview로 제공된다고 밝혔다. 또한 더 맞춤형 경험을 원하면 optional GitHub Advanced Security plugin을 사용할 수 있다고 안내했다. 아직은 모든 저장소의 기본값은 아니지만, 이번 발표는 platform vendor가 어디로 가고 있는지를 보여준다. 즉 보안 서비스를 사람과 AI agent가 함께 코드를 작성하는 동일한 루프 안에서 callable tool로 제공하는 방향이다.

기업 입장에서 더 큰 의미는 AI coding 도입이 이제 model 품질 문제만이 아니라 security integration 문제로도 빠르게 바뀌고 있다는 점이다. GitHub MCP Server를 통한 secret scanning이 review, policy, access control의 필요성을 없애지는 않지만, agent 중심 개발에서 가장 흔하고 비용이 큰 실패 유형 하나를 줄일 현실적인 방법을 제공한다.

#secrets

GitHub, MCP Server로 AI coding agent에 secret scanning 추가