Copilot Autofix와 Agentic Autofix, 맡길 수 있는 작업과 비용 차이

세 줄 요약

Copilot Autofix는 수정안을 제안하고, agentic autofix는 코드를 조사·수정하고 검증을 시도한 뒤 초안 PR을 만든다.
기본 브랜치에 쌓인 code scanning 경보를 최대 25개까지 묶어 하나의 세션에 맡길 수 있다.
에이전트 실행은 AI 크레딧과 Actions 시간을 쓰며, PR이 만들어져도 검증 결과와 코드 변경을 사람이 검토해야 한다.

차이는 PR 생성 여부보다 그 전에 맡기는 작업에 있다

GitHub의 Copilot Autofix는 한 경보에 대한 수정안을 제안한다. Agentic autofix는 경보를 배정받은 뒤 관련 코드를 탐색하고 수정·검증을 시도하며, 결과를 초안 PR로 만든다. 10월 15일 정식 제공된 에이전트 방식은 경보 하나의 제안을 받는 작업에서 저장소 안의 수정 작업을 맡기는 방식으로 범위를 넓힌다.

기존 방식도 PR을 만들 수 있다. Generate fix 뒤에 Create PR with fix를 누르면 새 브랜치에 제안을 커밋하고 초안 PR을 생성한다. 새 기능의 차이를 “예전에는 PR을 만들 수 없었다”로 이해하면 선택 기준이 어긋난다.

선택	맡기는 작업	사용량 차이
Copilot Autofix	지원되는 경보 하나의 수정 제안을 받고, 사용자가 검토·적용한다.	수정 제안 생성은 AI 크레딧을 쓰지 않는다.
Agentic autofix	코드 조사와 수정·검증을 맡기고 초안 PR을 받는다.	세션마다 AI 크레딧과 GitHub Actions 시간을 사용한다.

에이전트 방식을 켜면 개별 경보의 Generate Fix가 Assign to Copilot으로 바뀐다. 같은 위치의 버튼이라도 시작되는 작업과 사용량이 달라진다.

기본 브랜치의 경보를 최대 25개까지 묶는다

대상은 저장소 기본 브랜치에 쌓인 code scanning 경보다. PR이나 다른 브랜치에서만 발견된 경보는 이 배정 흐름의 대상이 아니다. PR 화면의 새 문제와 기본 브랜치의 미해결 경보를 구별해야 한다.

저장소의 Security and quality → Code scanning에서 경보를 연 뒤 Assignees의 Assign to Copilot을 누른다. 저장소에 쓰기 권한이 있는 사용자가 실행할 수 있으며, 기능이 먼저 활성화돼 있어야 한다.

여러 건은 경보 목록이나 보안 캠페인에서 최대 25개를 선택해 배정한다. 한 번의 배정은 하나의 에이전트 세션과 하나의 PR을 만든다. 한 세션에 묶을 수 있는 경보는 최대 25개이며, 개별 수정의 검증 결과는 생성된 PR에서 확인한다.

Copilot 좌석과 실행 비용은 별도로 판단한다

현재 접근 관리 문서는 GitHub.com의 공개 저장소와 Code Security 또는 Advanced Security를 갖춘 조직 소유 저장소를 대상으로 안내한다. 사용자의 Copilot 라이선스는 필수 조건이 아니다. Enterprise Managed Users 기업 안에서 사용자 개인이 소유한 저장소는 제외된다.

기업 산하 조직은 먼저 기업 정책에서 Agentic Autofix를 허용해야 한다. 이 허용만으로 저장소에서 켜지지는 않는다. 이어 조직이 활성화하면 적격 저장소에 기본 적용되며, 저장소 관리자는 상위 정책이 허용하는 범위에서 끄거나 다시 켤 수 있다. 독립 조직은 기업 단계가 필요 없고, 적격 개인 공개 저장소는 저장소 관리자가 직접 설정한다.

저장소 설정 경로는 Settings → Advanced Security → Code Security → Agentic Autofix다. 공개 미리보기 때 사용했던 조직도 다시 활성화해야 한다.

실행은 Code Security AI Credits와 GitHub Actions 시간을 소비한다. GA 공지는 Copilot 청구 수단 설정도 요구하며, 기업 청구 화면의 AI usage에서 Advanced Security 제품 사용량을 확인할 수 있다고 설명한다. 기존 수정 제안이 AI 크레딧을 쓰지 않는다는 조건을 에이전트 세션에 적용해서는 안 된다.

CodeQL 재실행이 확인한 범위부터 읽는다

에이전트는 CodeQL의 code scanning 쿼리 모음으로 수정안을 재검증한다. 그러나 사용자 정의 쿼리, security-extended 쿼리 모음, 타사 도구에서 나온 경보의 수정 여부는 이 검증으로 확인할 수 없다고 GitHub는 명시한다. 경보를 배정할 수 있다는 것과 수정 효과를 재검증할 수 있다는 것은 다르다.

생성된 PR에는 수정 내용과 수행한 검증이 담긴다. 검증하지 못했거나 오탐으로 판단한 경우도 PR에 설명하므로, 초안이 생겼다는 사실만으로 경보 처리를 끝낼 수는 없다. 세션 로그와 변경 코드를 읽고 테스트한 뒤 병합해야 한다.

추가 변경은 PR 댓글이나 저장소 Agents 탭의 세션에서 요청할 수 있다. 수정 후보를 직접 다듬고 싶다면 기존 제안 방식이 맞고, 여러 파일을 조사해 초안 PR까지 준비하는 일을 넘기려면 에이전트 방식이 맞는다. 선택은 맡길 작업 범위와 그 실행에 드는 사용량을 함께 보고 내려야 한다.