GitHub מרחיבה את Push Protection מעבר למפתחות בעלי פורמט מוכר. מסווג חדש, שפותח עם Microsoft Applied Sciences, בוחן את ההקשר שבו מחרוזת מופיעה בקוד ומנסה לזהות סוד גם כאשר אין לו תבנית קבועה כמו זו של מפתח API מוכר.
איך החסימה החדשה עובדת
עד היום Push Protection נשענה בעיקר על דפוסים מוגדרים מראש של ספקי Secrets. האפשרות החדשה מוסיפה זיהוי הקשרי מבוסס AI ישירות למסלול ה-Push. כאשר המערכת מזהה סוד אפשרי, GitHub דוחה את השינוי ומציגה את המיקום שבו נמצא הערך.
הכיסוי חל על Pushes חדשים, על Commits שנוצרים בממשק GitHub ועל העלאת קבצים. המנגנון פועל לצד הסורקים הקיימים ואינו מחליף אותם.
מה GitHub מדווחת על התוצאות
לפי נתוני GitHub המוקדמים, המסווג החדש יותר מהכפיל את מספר ה-Pushes שבהם Push Protection זיהתה סוד. החברה מציינת כי רמת הדיוק שדווחה על ידי משתמשים דומה לזו של גלאים המבוססים על תבניות שספקי המפתחות מגדירים. מדובר בנתוני החברה מתקופת ההשקה, ולא במדידה עצמאית.
הפיצ'ר אינו מופעל אוטומטית
היכולת זמינה ב-Public Preview והיא כבויה כברירת מחדל. כדי להפעיל אותה במאגר נדרשים גם AI-detected secrets וגם Push Protection. מנהלי Repository יכולים למצוא את ההגדרה תחת:
Settings → Advanced Security → Secret Protection → AI-detected secrets → Block AI-detected secrets
ברמת ארגון או Enterprise ניתן להפעיל אותה באמצעות Security Configurations. שדות ה-API הרלוונטיים הם secret_scanning_generic_secrets, secret_scanning_push_protection ו-secret_scanning_generic_secrets_push_protection.
מה צוותי פיתוח צריכים לבדוק
- להתחיל בפיילוט: להפעיל תחילה על כמה מאגרים ולבחון False Positives.
- להשאיר את הגלאים הקיימים: הסיווג ההקשרי הוא שכבה נוספת, לא תחליף.
- להגדיר נוהל Bypass: עקיפה צריכה להיות מנומקת ומאושרת; גם סוכני קוד נדרשים לקבל הרשאה לפני עקיפה.
- לנקות את כל ה-Commits: כאשר Push נחסם, יש להסיר את הסוד מכל Commit רלוונטי ולא רק מהגרסה האחרונה.
- לבדוק עלויות: הזיהוי בתוך Push Protection צורך AI credits, והחיוב מתחיל לאחר הצטרפות ל-Preview והפעלת היכולת.
למי זה זמין
ה-Preview מיועד לארגונים עם GitHub Secret Protection או GitHub Advanced Security ב-github.com. סריקת AI לאחר Push נשארת כלולה בחבילות הללו ללא תשלום נוסף, אך החסימה בזמן ה-Push צורכת AI credits.
השורה התחתונה: GitHub מנסה לעצור לא רק Secrets מוכרים, אלא גם מפתחות פנימיים ומחרוזות רגישות שאינן מגיעות עם חתימה קבועה. הערך הגדול יהיה בארגונים שמפעילים את ההגדרה לצד בקרת Bypass ברורה.
מקור: GitHub Changelog, 28.10.2026.
צילום: Can Ceylan / Pexels. דף המקור והרישיון.
