GitHub이 10월 22일부터 Copilot 정책의 Unconfigured 칸에 전역 기본값을 적용한다. 새 정책의 초기값은 Enabled이고, 기본으로 꺼져 있던 MCP 서버 정책도 대상이다. 10월 21일까지 Unconfigured 개수를 세고 MCP 허용 목록을 커밋해 둬야 한다.
Copilot Business를 쓰는 회사에서 "우리 MCP는 막혀 있죠?"라고 물으면 관리자는 설정 화면을 열어 보고 꺼져 있다고 답한다. 꺼진 이유는 두 가지일 수 있다. 누군가 Disabled를 골랐거나, 아무도 고르지 않았거나다.
지금까지는 두 경우의 결과가 같았다. GitHub MCP 개념 문서가 MCP servers in Copilot 정책을 "기본으로 꺼짐"이라고 적어 두었기 때문이다. GitHub 9월 24일 공지가 둘을 갈라놓는다. Copilot Business·Enterprise에 "Default policy for new features"라는 전역 기본값이 생기고, 10월 22일부터 Unconfigured로 남은 정식(GA) 기능은 이 값을 따른다. 명시적으로 켜거나 끈 칸은 건드리지 않는다.
전역 기본값의 초기값은 Enabled이고, MCP 정책도 범위에 들어간다
GitHub 기본 가용성 문서는 "이 정책은 기본으로 켜져 있다. 아무 조치를 하지 않으면 미설정 기능은 10월 22일에 켜진다"고 적었다. 범위는 엔터프라이즈 "Features & clients" 페이지의 정책 전부에 Agents 페이지의 Copilot code review 정책과 MCP 페이지의 MCP servers in Copilot 정책을 더한 것이다. 예외는 GHE.com의 데이터 레지던시·FedRAMP 모델 제한 정책과 Copilot CLI·VS Code의 "Store local sessions in the Cloud" 정책이다. 프리뷰 기능은 빠지지만, 프리뷰에서 GA로 넘어오는 기능은 대상이다.
| 정책 칸의 상태 | 10월 22일 이후 |
|---|---|
| 명시적 Enabled / Disabled | 그대로 유지 |
| 엔터프라이즈 Unconfigured | 전역 기본값을 따름 (초기값 Enabled) |
| 엔터프라이즈는 Let organizations decide, 조직은 미설정 | 조직의 기본값 정책을 따름 |
| 프리뷰 기능 | 계속 옵트인 |
| 앞으로 GA가 되는 기능 | 전역 기본값을 따름 |
조직 관리자가 놓치기 쉬운 지점이 하나 더 있다. GitHub 2025년 11월 공지 이후로는 엔터프라이즈 정책이 Unconfigured이면 조직 쪽 정책이 Disabled로 잡힌다. 조직 화면에서 Disabled로 보이는 MCP 정책이 조직이 고른 값이 아니라 엔터프라이즈의 빈칸에서 내려온 값일 수 있다.
MCP가 켜진 뒤 서버를 거르는 선은 managed-settings.json 하나다
어떤 MCP 서버가 도는지는 GitHub 엔터프라이즈 MCP 허용 목록 문서의 평가 순서가 정한다. 목록은 .github-private 저장소나 MDM으로 배포하는 managed-settings.json에 적는다. Copilot 클라이언트는 내장 GitHub MCP 서버를 먼저 허용하고, deniedMcpServers에 걸린 서버를 막고, allowedMcpServers가 있을 때만 거기 없는 서버를 막는다.
allowedMcpServers를 적지 않은 채 MCP 정책이 켜지면, 거부 목록에 없는 서버를 걸러 낼 규칙이 남지 않는다.
반대로 JSON이 깨져 있으면 클라이언트는 허용 목록을 빈 목록으로 보고 내장 서버 외에는 모두 막는다. 안전한 쪽으로 실패하지만 개발자에게는 MCP가 이유 없이 끊긴 것으로 보인다. GitHub 9월 25일 검증기 공지에 따르면 이제 엔터프라이즈 AI Controls 페이지의 "Copilot settings validation" 영역이 copilot/managed-settings.json과 copilot/team-mappings.json의 오류를 파일과 JSON 경로 단위로 보여 준다.
모델 쪽에는 같은 구조가 먼저 들어왔다. 모델 기본값 정책은 이미 작동 중이고, 그 영향은 전역 기본값을 꺼 둔 조직에는 10월 19일 Copilot 대체 모델이 자동으로 들어오지 않는다에서 다뤘다. 이번에는 같은 스위치가 외부 도구 서버를 에이전트에 붙이는 MCP에도 걸렸다.
가져갈 것
- AI Controls 정책 화면 배너에 뜨는 Unconfigured 정책 개수를 확인하고 목록으로 남겼는가?
- MCP 페이지의 "MCP servers in Copilot" 정책을 Enabled나 Disabled로 직접 골랐는가?
- Agents 페이지의 Copilot code review 정책도 Unconfigured에서 빼냈는가?
- MCP를 켤 계획이라면
allowedMcpServers를.github-private기본 브랜치의managed-settings.json에 커밋했는가? - 커밋 뒤 "Copilot settings validation" 영역의 오류가 0건인가?
- "Default policy for new features"를 Enabled·Disabled·Let organizations decide 중 무엇으로 둘지 10월 21일 전에 보안 담당자와 정했는가?
안 되는 경우
- Copilot Free·Pro·Pro+·Max 사용자는 이 정책도, MCP 정책도 적용받지 않는다. 개인 플랜으로 쓰는 MCP는 이 설정으로 막지 못한다.
- 배너의 Unconfigured 개수가 0인 엔터프라이즈는 10월 22일에 기존 기능이 바뀌지 않는다.
- GitHub은 한 번도 손대지 않은 MCP 정책이 모든 엔터프라이즈에서 Unconfigured로 표시되는지 밝히지 않았다. 배너와 MCP 페이지를 직접 봐야 한다.
- 어떤 프리뷰 기능이 언제 GA가 되어 자동으로 켜질지는 공지가 목록을 주지 않는다. changelog의 GA 공지를 따라가는 수밖에 없다.
이번 주에는 배너의 Unconfigured 목록을 보안 담당자와 한 번 읽고, MCP servers in Copilot 칸부터 사람의 결정으로 바꾸길 권한다. 켜는 쪽으로 정했다면 허용 목록 커밋과 검증기 확인을 같은 날 끝내야 정책만 먼저 켜지는 일이 없다. 사업영역 →