GitHub-ın Süni İntellekti Kodlarda Gizlənmiş Parolları Push Əməliyyatından Əvvəl Aşkarlayır

GitHub ModernBERT AI ilə Kod Təhlükəsizliyində Yeni Səviyyəyə Yüksəlir

GitHub, Microsoft Applied Sciences ilə əməkdaşlıq çərçivəsində, kodlar repository-ə göndərilməzdən əvvəl gizli parolları aşkar etmək üçün nəzərdə tutulmuş ModernBERT adlı süni intellekt (AI) təsnifatçısını istifadəyə verib. Bu yeni texnologiya, mövcud push mühafizə mexanizmlərini genişləndirərək, yalnız müəyyən token patterlərinə əsaslanan ənənəvi yanaşmadan daha irəli gedir.

Şirkətdən verilən məlumata görə, ModernBERT sistemi potensial gizli məlumat partiyalarını iki millisaniyədən az müddətdə yoxlaya bilir və aşkar edilən sirlərin sayını iki dəfədən çox artıra bilər. Oktyabrın 7-də elan olunan bu funksiya, proqram təminatı istehsalı ilə etimadnamə təhlükəsizliyi arasındakı artan boşluğu aradan qaldırmağa yönəlib. Microsoft-un hesabatına görə, hazırda GitHub-dakı hər üç pull requestdən biri AI agentinin iştirakı ilə baş verir.

Niyə Yeni Yanaşmaya Ehtiyac Var?

Proqramçılar və AI agentləri daha çox kod yaratdıqca, təhlükəsizlik yoxlamaları gecikmələrə səbəb olmadan və ya komandaları hər dəyişikliyi əl ilə nəzərdən keçirməyə məcbur etmədən bu sürətə uyğunlaşmalıdır. Ənənəvi sirr skaneri token prefiksi və ya sabit struktur kimi tanınan patterlərə əsaslanır. Bu, bir çox API key üçün işləsə də, daxili verilənlər bazası parolu adi bir sətir kimi görünə bilər. Yeni təsnifatçı, bir dəyərin yalnız formatına güvənmək əvəzinə, onun etimadnamə olub-olmadığını müəyyən etmək üçün ətrafdakı kodu oxuyur. GitHub-ın nümunələri modelin verilənlər bazası URL-lərində, Kubernetes Secret manifests-də və Dockerfile-larda parolla oxşar dəyərləri müəyyən etdiyini, eyni zamanda “changeme” kimi yer tutan dəyərlərə icazə verdiyini göstərir.

Süni İntellektin Performansı və Dəqiqliyi

Bu sistem chatbot kimi kod və ya mətn yaratmır. O, namizəd sirləri təsnif edir ki, bu da onu push cəhdi zamanı tez bir zamanda işləməli olan yoxlamalar üçün uyğun edir. Bildirilən sürət bütün repository skanına deyil, namizəd partiyalara aiddir. Dəqiqlik vacibdir, çünki səhv həyəcan siqnalı işi dayandıra və gələcək xəbərdarlıqlara olan etibarı zəiflədə bilər. GitHub bildirir ki, bu təsnifatçı mövcud geniş dil model (LLM) ardıcıllıqlarından daha dəqiqdir, eyni zamanda push mühafizəsi daxilində işləmək üçün kifayət qədər sürətli və qənaətlidir. Lakin elanda rəqəmsal səhv müsbət (false-positive) dərəcəsi haqqında məlumat verilməyib.

Statistika və Tendensiyalar

GitHub-ın məlumatına əsasən, 2024-cü ilin ikinci rübündən 2026-cı ilin ikinci rübünə qədər doqquz rüb ərzində yoxlanılmış ictimai push əməliyyatları 2.84 dəfə, dəstəklənən etimadnamələr ehtiva edən push əməliyyatları isə 2.59 dəfə artıb. Şirkət, sirlər ehtiva edən push əməliyyatlarının payında statistik olaraq nəzərəçarpacaq bir tendensiya aşkar etməyib. Eyni zamanda, proqramçıların push mühafizəsi bloklarını ötürmələri 6.63%-dən 3.93%-ə düşüb. Bu tapıntılar, iş yükünü diqqətsizliyin deyil, artan fəaliyyətin idarə etdiyini göstərir.

Mövcud Çatışmazlıqlar və Qarşısının Alınmasının Əhəmiyyəti

GitHub-ın aşkarladığı daha geniş sirr növləri arasında, push mühafizəsi təxminən 30%-ni repository tarixinə düşməzdən əvvəl dayandırır. Qalan 70%-i isə daha sonra tapılır. Əl ilə ləğv edilməsi orta hesabla 40 gün çəkir, hər beş sirdən biri 90 gündən çox vaxt aparır. Bu, təkcə aşkarlanmanın girişi bağlamadığını və sızmaların qarşısını almağın nə qədər vacib olduğunu bir daha vurğulayır.

Əlçatanlıq və Gələcək Planlar

AI əsaslı push mühafizəsi hazırda özəl preview mərhələsindədir və oktyabr ayının sonlarına doğru GitHub Secret Protection müştəriləri (Enterprise Cloud və GitHub Team planlarında) üçün əlçatan olması planlaşdırılır. Bu xidmət AI kreditləri sərf edəcək. AI sirr aşkarlanması istifadə edən mövcud təşkilatlar avtomatik olaraq yenilənəcək; push sonrası xəbərdarlıqlar əlavə ödənişsiz olaraq daxil ediləcək. GitHub, Enterprise Server 3.23 (hava ilə ayrılmış mühitlər daxil olmaqla) üçün ictimai preview xəbərdarlıqlarını və Copilot CLI və Copilot App-in /security-review əmri vasitəsilə yoxlamaları planlaşdırır.

Qeyd etmək lazımdır ki, qarşısının alınması əvvəlki sızmaları bərpa edə bilməz. GitHub-ın sirr skaneri tərəfdaş proqramı, provayderlərə ifşa hesabatlarını almağa və etimadnamələri ləğv etməyə imkan verir. Təhlükəsizlik komandaları üçün yeni sızmaların qarşısını almaq və ifşa olunmuş sirlərə girişi dayandırmaq ayrı-ayrı, zəruri vəzifələr olaraq qalır.