GitHub Enterprise Cloud가 모든 자격 증명을 CSV와 API로 내보내게 했다. PAT·OAuth·GitHub App 토큰이 소유자·범위·마지막 사용일과 한 표에 나온다. 만료일·범위·마지막 사용일로 정리할 토큰부터 세고, 각 토큰의 소유자를 확인하면 된다.
에이전트를 붙이는 일은 대개 토큰을 하나 만드는 데서 시작한다. MCP 서버에 PAT를 넣고, 자동화용 GitHub App을 설치하고, 스크립트에 OAuth 토큰을 둔다. 파일럿이 끝나도 토큰은 남는다. 누가 만들었는지, 아직 쓰이는지 한 화면에서 보여주는 곳이 지금까지는 없었다.
모델 쪽 속도는 이 문제를 키운다. 9월 22일 하루에만 Copilot에 Claude Opus 5.5가 들어왔고(GitHub 9월 22일 공지), GPT-6 Sol과 Luna도 들어왔다(GitHub 9월 22일 공지). 관리자가 전역 기본값을 꺼 두지 않았다면 새 모델은 자동으로 켜진다. 에이전트가 쓸 모델은 늘어나는데, 에이전트가 쓸 수 있는 열쇠의 목록은 아무도 들고 있지 않았다.
인벤토리는 계정이 아니라 열쇠를 단위로 센다
GitHub 9월 21일 공지에 따르면 엔터프라이즈 소유자는 엔터프라이즈에 접근할 수 있는 모든 자격 증명을 내보낼 수 있다. 대상은 SSH 키, 클래식·세분화 PAT, OAuth App 액세스 토큰, GitHub App의 user-to-server 토큰과 설치 토큰이다. 경로는 Settings → Authentication Security → Credentials의 Export CSV이고, 페이지 단위 REST API로도 받을 수 있다. 소유자가 아니어도 View enterprise credentials 세분화 권한이 있으면 내보낼 수 있다.
퇴사자 계정을 정리해도 그 사람이 설치한 App 토큰은 남을 수 있다. 멤버 목록에는 없는 그런 토큰이 이 표에서는 한 줄씩 드러난다.
| CSV 열 | 이 열이 답하는 질문 |
|---|---|
| 소유자 | 이 토큰이 사람 것인가, 앱 것인가 |
| 범위·권한 | 에이전트에게 필요한 것보다 넓은가 |
| 생성일·만료일 | 만료 없이 영구로 발급됐는가 |
| 마지막 사용일 | 파일럿이 끝난 뒤에도 살아 있는가 |
| 대상 조직·저장소 | 파일럿 범위 밖까지 닿는가 |
트레이스는 한 일을, 인벤토리는 할 수 있는 일을 보여준다
다음 날 GitHub는 Copilot 앱의 OpenTelemetry 내보내기(GitHub 9월 22일 공지)도 열었다. managed-settings.json의 telemetry 속성에 수집 엔드포인트를 적으면 에이전트 세션 흐름, 모델 요청, 사용한 도구가 트레이스로 나간다. 프롬프트와 응답 본문은 기본적으로 빠진다.
사고 조사는 트레이스에서 시작하지만, 사고를 막는 일은 인벤토리에 달려 있다. 쓰이지 않는 쓰기 권한 토큰은 트레이스에 한 줄도 남기지 않는다. 그래서 트레이스만 보는 감사로는 찾을 수 없다. 공지는 인벤토리를 감사 로그 활동과 대조하라고 권한다. 열쇠 목록과 사용 기록을 겹쳐 봐야 둘 사이의 빈칸이 보인다. 도구에 꽂아 둔 열쇠가 어떻게 사고로 이어지는지는 털린 건 모델이 아니라 도구에 꽂아둔 열쇠였다에서 다뤘다.
가져갈 것
- Credentials 화면에서 CSV를 내보냈을 때, 만료일이 비어 있는 클래식 PAT가 몇 개인지 세었는가
- 마지막 사용일이 90일 이상 지난 토큰 중 쓰기 범위를 가진 것을 따로 추렸는가
- GitHub App 설치 토큰마다 대상 조직·저장소가 에이전트 파일럿 범위 안에 있는지 확인했는가
- 보안 담당자에게 소유자 권한 대신
View enterprise credentials권한만 줘서 매달 내보낼 수 있게 했는가 - 소유자가 퇴사했거나 휴면 상태인 토큰의 목록을 감사 로그의 최근 활동과 대조했는가
안 되는 경우
- 이번 기능은 GitHub Enterprise Cloud 전용이다. GitHub Enterprise Server는 앞으로의 릴리스에서 지원한다고만 밝혔다.
- 공지는 마지막 사용일을 얼마나 오래전까지 기록하는지, Copilot 클라우드 에이전트가 내부에서 쓰는 단기 토큰이 표에 포함되는지 밝히지 않았다.
- 에이전트 자격 증명을 GitHub 밖의 비밀 관리 도구에서 발급하는 조직이라면, 그 발급 기록은 이 표에 나오지 않는다.
- OpenTelemetry 공지는 프리뷰인지 GA인지, 어떤 플랜에서 쓸 수 있는지 적지 않았다.
이번 주에 할 일은 CSV를 한 번 내보내고 "만료일 없음 + 쓰기 범위 + 90일 미사용" 조건에 걸리는 행을 세는 것이다. 그 숫자가 에이전트 도입 속도보다 빨리 늘고 있다면, 다음 파일럿의 첫 결재 항목은 모델이 아니라 토큰 발급 규칙이어야 한다. 조녁컴퍼니가 AX 컨설팅에서 먼저 묻는 것도 이 순서다.