[liner-sec-admin]

보안 가드레일 자동 PR입니다. 워크플로 파일 1개를 추가하며 코드 변경은 없습니다.

무엇을 하나: PR마다 (1) 이 PR이 새로 들여온 CRITICAL 취약 의존성, (2) PR 커밋 히스토리에 들어간 시크릿을 검사하고, 있으면 머지를 막습니다. 결과는 PR 코멘트 Security Scan으로 무엇을 고치면 되는지 안내합니다.

머지 후: 보안팀 가드레일이 이 체크(security-scan / Security Scan)를 required로 등록해 게이트가 실제로 동작합니다. 예외는 .trivyignore.yaml(취약점, 사유·만료일 필수), .gitleaksignore(시크릿 fingerprint)로 등록할 수 있습니다.

머지만 해주시면 됩니다. 문의: #2-security-and-compliance-squad
근거: security repo docs/design/2026-09-03-trivy-gate-v2.md, docs/design/2026-07-28-github-permission-consolidation.md

[kyle-liner]

public 레포는 private security 레포의 공유 워크플로를 호출할 수 없어 이 체크가 실행되지 않습니다(위에 체크가 하나도 안 뜬 이유). 순찰이 public 레포를 건너뛰도록 고친 뒤 닫습니다. 레포를 private 으로 돌리면 다음 순찰 때 다시 설치 PR 이 옵니다. 문의: #2-security-and-compliance-squad