GitHub Agentic Workflows로 저장소 작업 자동화 — 2026년 7주 기술 뉴스
Industry shifts, security alerts, hardware, and AI/ML Compiled for immediate developer deployment.
calendar_todaysummarizeWeek 7-2026bolt1 CRITICAL
article
GitHub Agentic Workflows로 저장소 작업 자동화
TAG: 공개 발표
GitHub Agentic Workflows가 technical preview로 출시되었으며, YAML 대신 Markdown으로 작성된 workflow 파일을 사용해 GitHub Actions 내에서 AI 기반 repository 자동화를 구현합니다. Workflow는 기본적으로 read-only 권한으로 실행되며, pull request 생성이나 issue 댓글 추가 같은 write 작업은 "safe outputs" 승인을 거쳐야 합니다. GitHub Copilot CLI, Claude Code, OpenAI Codex 등 다양한 coding agent 엔진을 지원하며, sandboxed 실행, tool allowlisting, 네트워크 격리를 통해 prompt injection 공격을 방어하는 defense-in-depth 보안 아키텍처를 채택했습니다. 지속적 triage, 문서 동기화, CI 장애 조사, 테스트 커버리지 향상, 일일 repo 상태 보고 등이 주요 활용 사례이며, gh-aw CLI extension으로 쉽게 시작할 수 있습니다.
BeyondTrust CVE-2026-1731(9.9) — 치명적 취약점이 이미 악용 중, CISA가 새로운 버그를 KEV에 추가 - HackYourMom
TAG: 보안
BeyondTrust Remote Support 및 Privileged Remote Access에서 발견된 CVSS 9.9 점의 치명적 취약점CVE-2026-1731이 현재 야생에서 활발히 악용되고 있습니다. watchTowr 연구진에 따르면, 공격자들은 get_portal_info 함수를 악용해 x-ns-company 값을 획득한 후 WebSocket 연결을 수립하고 인증 없이 임의의 OS 명령을 실행합니다. BeyondTrust는 Remote Support용 패치 BT26-02-RS(v25.3.2 이상)와 Privileged Remote Access용 BT26-02-PRA(v25.1.1 이상)를 배포했습니다. CISA는 동시에 KEV 카탈로그에 CVE-2026-20700(Apple), CVE-2025-15556(Notepad++ 공급망 공격, 중국 그룹 Lotus Blossom 소행, 약 5개월 지속), CVE-2025-40536(SolarWinds Web Help Desk), CVE-2024-43468(Microsoft Configuration Manager SQL injection) 4개 항목을 추가했습니다. 즉각적인 패치 적용과 접근 로그 감사가 필수입니다.
VS Code v1.109(2026년 1월 릴리스, 2월 4일 출시)은 Claude Agent SDK를 통한 Anthropic Claude agent의 public preview 지원을 추가하며, GitHub Copilot 및 OpenAI Codex와 함께 다중 agent 허브로 진화했습니다. GitHub Copilot Pro+ 및 Enterprise 구독자는 VS Code 내에서 Claude와 Codex를 cloud agent로 직접 실행할 수 있습니다. 통합 Agent Sessions 뷰는 로컬, 백그라운드, 클라우드 agent 활동을 단일 대시보드에서 추적하며, 병렬 subagent 실행 기능은 context가 분리된 subagent들이 메인 세션 context를 오염시키지 않고 동시에 작동하도록 합니다. MCP Apps 완전 지원을 통해 agent가 채팅 내에서 대화형 UI 컴포넌트를 렌더링할 수 있게 되며, Anthropic의 공개 표준인 Agent Skills도 이번 릴리스에서 GA를 달성했습니다.
2025년 8월 GitHub CEO를 퇴임한 Thomas Dohmke가 Entire을 출시했습니다. Felicis가 리드하고 Madrona, Basis Set, Microsoft의 M12가 참여한 6,000만 달러 시드 라운드(개발자 툴 역사상 최대 규모)로 뒷받침된 오픈소스 개발자 플랫폼입니다. Entire은 새로운 Git 호환 분산 데이터베이스(기반층), 시맨틱 추론 레이어(중간층), UI(상단층)의 3계층 구조로 설계되었습니다. 첫 번째 제품인 Checkpoints는 현재 Claude Code와 Google의 Gemini CLI와 통합되어 agent의 추론 과정, 의도, 결과를 자동으로 기록합니다. Dohmke는 agentic 개발의 핵심 병목이 코드 작성이 아닌 코드 리뷰라고 주장하며, 전체 추론 체인을 보존해야 한다고 강조합니다. 팀은 인간 직원을 15명에서 30명으로 늘리는 동시에 "수백 개의 agent"로 확장할 계획이며, 관대한 오픈소스 라이선스와 호스티드 서비스를 통해 수익을 창출할 예정입니다.
OpenAI가 속도 최적화 모델 GPT-5.3-Codex-Spark를 출시했습니다. Cerebras의 125 페타플롭 Wafer Scale Engine 3(약 90만 개 코어에 4조 개 트랜지스터, 내부 메모리 대역폭 27 petabytes/s)에서 실행되어 초당 1,000 토큰 이상을 제공합니다. Codex Spark는 빠른 프로토타이핑과 실시간 인터랙티브 편집을 타겟으로 하며, Terminal-Bench 2.0에서 77.3%인 GPT-5.3-Codex 대비 58.4%의 벤치마크 점수를 기록하지만 훨씬 낮은 레이턴시와 생성 중 중단 및 방향 전환 기능을 제공합니다. 출시 시점에는 128,000 토큰 context window와 텍스트 전용 기능만 지원하며, 더 큰 모델, 더 긴 context, 멀티모달 입력은 추후 추가 예정입니다. ChatGPT Pro 사용자를 위한 Codex CLI, VS Code, Codex 앱(다운로드 100만 돌파)에서 research preview로 이용 가능하며, 최대 100억 달러 규모로 알려진 OpenAI-Cerebras 다년 파트너십의 첫 성과물입니다.
Arcjet이 JavaScript SDK v1.0을 출시하며 2.5년간의 alpha 및 beta 단계를 마치고 안정적인 production-ready API로 전환했습니다. 해당 기간 동안 breaking change는 단 3번에 불과했습니다. SDK는 WebAssembly(Wasm) 모듈을 애플리케이션에 직접 내장하여, 별도 보안 서비스를 거치지 않고 near-native 속도로 bot 탐지, rate limiting, 이메일 검증, 폼 스팸 방지, 데이터 redaction을 수행합니다. 창업자 겸 CEO David Mytton은 JavaScript 생태계의 잦은 버전 교체가 보안 라이브러리 이탈의 주원인이라며 API 안정성을 핵심 제품 요건으로 강조합니다. 향후 계획으로는 민감한 경로의 오탐을 줄이는 로컬 AI 모델 공개, 의사결정 근거를 제공하는 풍부한 위협 인텔리전스, 그리고 다국어 확장(Python SDK는 이미 beta; Java 및 Go 예정)이 포함됩니다. 현재 수천 명의 개발자가 production 환경에서 이 SDK를 사용하고 있습니다.
Theo는 Salesforce가 Heroku를 조용히 고사시키는 과정을 분석합니다. Heroku는 "sustaining engineering" 유지보수 모드에 들어가며 신규 고객 대상 enterprise 계약을 종료하고, 팀의 절반 이상을 해고했으며, free tier 재도입을 앞두고 있던 현대화 작업도 포기했습니다. 2022년 Salesforce 인수, 관대한 free tier 폐지, 그리고 2024년 말 4개월 사이에 CPO와 CEO를 모두 잃은 리더십 공백이 주요 원인으로 지목됩니다. 영상은 또한 Vercel, Cloudflare 같은 serverless 플랫폼이 free tier를 유지할 수 있는 이유(트래픽이 없을 때 비용 제로)와, Heroku, PlanetScale 같은 서버 프로비저닝 플랫폼이 그럴 수 없는 이유를 명확히 설명합니다. 현재 Heroku 사용자에게는 VPS 워크로드는 Railway나 Render로, serverless 배포는 Vercel, Netlify, Cloudflare로 이전할 것을 권장합니다.
GitHub Agentic Workflows가 technical preview로 출시되었으며, YAML 대신 Markdown으로 작성된 workflow 파일을 사용해 GitHub Actions 내에서 AI 기반 repository 자동화를 구현합니다. Workflow는 기본적으로 read-only 권한으로 실행되며, pull request 생성이나 issue 댓글 추가 같은 write 작업은 "safe outputs" 승인을 거쳐야 합니다. GitHub Copilot CLI, Claude Code, OpenAI Codex 등 다양한 coding agent 엔진을 지원하며, sandboxed 실행, tool allowlisting, 네트워크 격리를 통해 prompt injection 공격을 방어하는 defense-in-depth 보안 아키텍처를 채택했습니다. 지속적 triage, 문서 동기화, CI 장애 조사, 테스트 커버리지 향상, 일일 repo 상태 보고 등이 주요 활용 사례이며, gh-aw CLI extension으로 쉽게 시작할 수 있습니다.
Theo는 Salesforce가 Heroku를 조용히 고사시키는 과정을 분석합니다. Heroku는 "sustaining engineering" 유지보수 모드에 들어가며 신규 고객 대상 enterprise 계약을 종료하고, 팀의 절반 이상을 해고했으며, free tier 재도입을 앞두고 있던 현대화 작업도 포기했습니다. 2022년 Salesforce 인수, 관대한 free tier 폐지, 그리고 2024년 말 4개월 사이에 CPO와 CEO를 모두 잃은 리더십 공백이 주요 원인으로 지목됩니다. 영상은 또한 Vercel, Cloudflare 같은 serverless 플랫폼이 free tier를 유지할 수 있는 이유(트래픽이 없을 때 비용 제로)와, Heroku, PlanetScale 같은 서버 프로비저닝 플랫폼이 그럴 수 없는 이유를 명확히 설명합니다. 현재 Heroku 사용자에게는 VPS 워크로드는 Railway나 Render로, serverless 배포는 Vercel, Netlify, Cloudflare로 이전할 것을 권장합니다.
BeyondTrust CVE-2026-1731(9.9) — 치명적 취약점이 이미 악용 중, CISA가 새로운 버그를 KEV에 추가 - HackYourMom
BeyondTrust Remote Support 및 Privileged Remote Access에서 발견된 CVSS 9.9 점의 치명적 취약점CVE-2026-1731이 현재 야생에서 활발히 악용되고 있습니다. watchTowr 연구진에 따르면, 공격자들은 get_portal_info 함수를 악용해 x-ns-company 값을 획득한 후 WebSocket 연결을 수립하고 인증 없이 임의의 OS 명령을 실행합니다. BeyondTrust는 Remote Support용 패치 BT26-02-RS(v25.3.2 이상)와 Privileged Remote Access용 BT26-02-PRA(v25.1.1 이상)를 배포했습니다. CISA는 동시에 KEV 카탈로그에 CVE-2026-20700(Apple), CVE-2025-15556(Notepad++ 공급망 공격, 중국 그룹 Lotus Blossom 소행, 약 5개월 지속), CVE-2025-40536(SolarWinds Web Help Desk), CVE-2024-43468(Microsoft Configuration Manager SQL injection) 4개 항목을 추가했습니다. 즉각적인 패치 적용과 접근 로그 감사가 필수입니다.
VS Code v1.109(2026년 1월 릴리스, 2월 4일 출시)은 Claude Agent SDK를 통한 Anthropic Claude agent의 public preview 지원을 추가하며, GitHub Copilot 및 OpenAI Codex와 함께 다중 agent 허브로 진화했습니다. GitHub Copilot Pro+ 및 Enterprise 구독자는 VS Code 내에서 Claude와 Codex를 cloud agent로 직접 실행할 수 있습니다. 통합 Agent Sessions 뷰는 로컬, 백그라운드, 클라우드 agent 활동을 단일 대시보드에서 추적하며, 병렬 subagent 실행 기능은 context가 분리된 subagent들이 메인 세션 context를 오염시키지 않고 동시에 작동하도록 합니다. MCP Apps 완전 지원을 통해 agent가 채팅 내에서 대화형 UI 컴포넌트를 렌더링할 수 있게 되며, Anthropic의 공개 표준인 Agent Skills도 이번 릴리스에서 GA를 달성했습니다.
2025년 8월 GitHub CEO를 퇴임한 Thomas Dohmke가 Entire을 출시했습니다. Felicis가 리드하고 Madrona, Basis Set, Microsoft의 M12가 참여한 6,000만 달러 시드 라운드(개발자 툴 역사상 최대 규모)로 뒷받침된 오픈소스 개발자 플랫폼입니다. Entire은 새로운 Git 호환 분산 데이터베이스(기반층), 시맨틱 추론 레이어(중간층), UI(상단층)의 3계층 구조로 설계되었습니다. 첫 번째 제품인 Checkpoints는 현재 Claude Code와 Google의 Gemini CLI와 통합되어 agent의 추론 과정, 의도, 결과를 자동으로 기록합니다. Dohmke는 agentic 개발의 핵심 병목이 코드 작성이 아닌 코드 리뷰라고 주장하며, 전체 추론 체인을 보존해야 한다고 강조합니다. 팀은 인간 직원을 15명에서 30명으로 늘리는 동시에 "수백 개의 agent"로 확장할 계획이며, 관대한 오픈소스 라이선스와 호스티드 서비스를 통해 수익을 창출할 예정입니다.
OpenAI가 속도 최적화 모델 GPT-5.3-Codex-Spark를 출시했습니다. Cerebras의 125 페타플롭 Wafer Scale Engine 3(약 90만 개 코어에 4조 개 트랜지스터, 내부 메모리 대역폭 27 petabytes/s)에서 실행되어 초당 1,000 토큰 이상을 제공합니다. Codex Spark는 빠른 프로토타이핑과 실시간 인터랙티브 편집을 타겟으로 하며, Terminal-Bench 2.0에서 77.3%인 GPT-5.3-Codex 대비 58.4%의 벤치마크 점수를 기록하지만 훨씬 낮은 레이턴시와 생성 중 중단 및 방향 전환 기능을 제공합니다. 출시 시점에는 128,000 토큰 context window와 텍스트 전용 기능만 지원하며, 더 큰 모델, 더 긴 context, 멀티모달 입력은 추후 추가 예정입니다. ChatGPT Pro 사용자를 위한 Codex CLI, VS Code, Codex 앱(다운로드 100만 돌파)에서 research preview로 이용 가능하며, 최대 100억 달러 규모로 알려진 OpenAI-Cerebras 다년 파트너십의 첫 성과물입니다.
Arcjet이 JavaScript SDK v1.0을 출시하며 2.5년간의 alpha 및 beta 단계를 마치고 안정적인 production-ready API로 전환했습니다. 해당 기간 동안 breaking change는 단 3번에 불과했습니다. SDK는 WebAssembly(Wasm) 모듈을 애플리케이션에 직접 내장하여, 별도 보안 서비스를 거치지 않고 near-native 속도로 bot 탐지, rate limiting, 이메일 검증, 폼 스팸 방지, 데이터 redaction을 수행합니다. 창업자 겸 CEO David Mytton은 JavaScript 생태계의 잦은 버전 교체가 보안 라이브러리 이탈의 주원인이라며 API 안정성을 핵심 제품 요건으로 강조합니다. 향후 계획으로는 민감한 경로의 오탐을 줄이는 로컬 AI 모델 공개, 의사결정 근거를 제공하는 풍부한 위협 인텔리전스, 그리고 다국어 확장(Python SDK는 이미 beta; Java 및 Go 예정)이 포함됩니다. 현재 수천 명의 개발자가 production 환경에서 이 SDK를 사용하고 있습니다.
7주차는 최근 기억 중 개발자 도구 산업에 있어 가장 중요한 뉴스 주간 중 하나였습니다. 보안 긴급 항목이 즉각적인 주의를 요합니다. BeyondTrust Remote Support 및 Privileged Remote Access의 CVSS 9.9 인증 없는 RCE 취약점 CVE-2026-1731이 현재 야생에서 활발히 악용되고 있으며, CISA는 동시에 5개월간 탐지되지 않은 Notepad++ 공급망 공격을 포함한 네 건의 취약점을 KEV 카탈로그에 추가하였습니다.
에이전트 코딩의 파도가 여러 전선에서 거세졌습니다. GitHub Agentic Workflows가 기술 프리뷰에 진입하며 prompt injection 방어를 갖춘 Markdown 기반 CI 자동화를 제공합니다. VS Code v1.109는 Claude와 Codex를 일급 cloud agent로 추가하고 통합 Agent Sessions 뷰와 MCP Apps 완전 지원을 탑재하였습니다. OpenAI는 Cerebras 칩에서 초당 1,000 토큰 이상을 달성하는 속도 최적화 모델 Codex Spark를 출시하였습니다.
두 가지 전략적 비즈니스 스토리가 이번 주를 감쌉니다. Thomas Dohmke의 Entire 플랫폼은 6,000만 달러 시드 펀딩을 받은 Git 호환 개발자 스택으로 에이전트 추론 로그를 내장하며, 에이전트 우선 툴링에 대한 가장 대담한 베팅입니다. 반면 Theo가 해부한 Heroku의 종말은 free tier와 리더십을 단기간에 동시에 잃을 때 어떤 일이 벌어지는지 보여주는 교훈적인 이야기입니다.
Key Takeaways
BeyondTrust의 CVE-2026-1731(CVSS 9.9)이 활발히 악용되고 있으므로 Remote Support v25.3.2+ 또는 PRA v25.1.1+로 즉시 패치하고 x-ns-company WebSocket 지표를 기준으로 접근 로그를 감사하십시오.
VS Code v1.109와 GitHub Agentic Workflows가 이번 주 동시에 출시되어 2026년 2월은 멀티 에이전트 IDE 스택이 로드맵에서 현실로 전환된 달이 되었습니다.
Heroku의 유지보수 모드 전락은 서버 프로비저닝 플랫폼이 Vercel처럼 유휴 시 비용이 없는 serverless 플랫폼과 달리 free tier를 지속할 수 없다는 구조적 진실을 보여줍니다.
