GitHub setzt KI gegen geleakte Passwörter und Secrets ein

GitHub erweitert seinen Schutz vor versehentlich veröffentlichten Zugangsdaten um ein eigenes KI-Modell. Die neue Secret Detection soll nicht nur typische API-Keys und Tokens erkennen, sondern auch Passwörter und andere Zugangsdaten, die kein klar erkennbares Format besitzen.

Das Modell liest den Code-Kontext mit

Klassische Secret-Scanner arbeiten stark mit bekannten Mustern. GitHubs neues Modell bewertet zusätzlich den umgebenden Code, um einzuschätzen, ob eine Zeichenfolge wahrscheinlich ein echtes Geheimnis ist. GitHub betont, dass das Modell speziell für diesen Zweck trainiert wurde und weder Code noch Fließtext generiert.

Drei Stellen bekommen die neue Erkennung

Kunden, die bereits „AI-detected Password alerts“ verwenden, wurden laut GitHub automatisch auf das neue Modell umgestellt. Eine KI-gestützte Erkennung in der Push Protection befindet sich in einer privaten Vorschau. Zusätzlich soll die Secret-Erkennung über den Befehl /security-review in Copilot CLI und der Copilot-App folgen – ebenfalls zunächst als Private Preview.

Gerade bei KI-gestützter Entwicklung ist das relevant. Agenten und Assistenten erzeugen, verändern und verschieben immer mehr Code. Ein versehentlich in ein Repository geratener Zugangsschlüssel kann dadurch leichter übersehen werden. Eine kontextabhängige Prüfung direkt beim Push kann solche Fehler abfangen, bevor sie im Repository landen.

Kein Ersatz für saubere Secret-Verwaltung

Auch ein besserer Scanner ändert nichts an der Grundregel: Zugangsdaten gehören nicht in den Quellcode. Secrets sollten über dafür vorgesehene Variablen, Vaults oder Plattformfunktionen verwaltet und kompromittierte Schlüssel sofort rotiert werden. Die neue Erkennung ist eine zusätzliche Schutzschicht, kein Freibrief.

GitHub baut Copilot parallel weiter aus. Zuletzt kamen unter anderem neue Modellwahl, Code-Reviews und Sentry-Integration hinzu.

Quelle: GitHub Changelog