Το GitHub κόβει 86% από τον χρόνο σάρωσης μυστικών — αλλά όχι από κάθε έλεγχο

Στις 13 Οκτωβρίου 2026, η GitHub παρουσίασε στον τεχνικό απολογισμό της μείωση 86% στον διάμεσο χρόνο εκτέλεσης της σάρωσης μυστικών μετά το push, αύξηση 11,5% στην αποδοχή ειδοποιήσεων σταθμισμένη ανά ιδιοκτήτη αποθετηρίου και μείωση άνω του 98% στο κόστος λειτουργίας του νέου ταξινομητή. Σημείο σύγκρισης ήταν η προηγούμενη διαδικασία εντοπισμού, η οποία χρησιμοποιούσε απομακρυσμένες κλήσεις σε μεγάλο γλωσσικό μοντέλο. Οι μετρήσεις αφορούν τη σάρωση μετά την υποβολή κώδικα, όχι κάθε έλεγχο που μπορεί να χρησιμοποιήσει μια ομάδα.

Η ανεξάρτητη καταγραφή του Blockchain.News περιλαμβάνει και τα αποτελέσματα της εκτός παραγωγής αξιολόγησης: 13% υψηλότερη ακρίβεια και 19% υψηλότερη ανάκληση στη σάρωση μετά το push, σε σύγκριση με την προηγούμενη διαδικασία και στην ίδια δημόσια κίνηση. Για τους πελάτες που ήδη λαμβάνουν ειδοποιήσεις μυστικών εντοπιζόμενων με AI, το νέο μοντέλο χρησιμοποιείται ήδη. Η προστασία με AI κατά το push βρίσκεται σε ιδιωτική προεπισκόπηση, ενώ η προσθήκη του μοντέλου στον έλεγχο του Copilot είχε ανακοινωθεί ως επερχόμενη.

Τι δείχνουν οι μετρήσεις μετά το push

Η μείωση του χρόνου αφορά τη διάμεση διάρκεια εκτέλεσης της σάρωσης σε παραγωγή. Ο διάμεσος χωρίζει τις μετρημένες εκτελέσεις σε δύο ίσα μέρη: οι μισές ολοκληρώθηκαν ταχύτερα και οι υπόλοιπες βραδύτερα από αυτόν. Δεν περιγράφει πόσο θα επιταχυνθεί κάθε μεμονωμένο push ούτε περιλαμβάνει τον χρόνο που χρειάζεται ένας άνθρωπος για να εξετάσει μια ειδοποίηση και να αντιμετωπίσει ένα πραγματικό διαπιστευτήριο.

Η αύξηση της αποδοχής προέκυψε από πείραμα A/B με πελάτες και αφορά το κατά πόσον οι παραλήπτες αποδέχθηκαν τα ευρήματα. Η στάθμιση ανά ιδιοκτήτη αποθετηρίου περιορίζει την επίδραση λογαριασμών που κλείνουν μαζικά πολλές ειδοποιήσεις. Έτσι, η μέτρηση φωτίζει τη χρησιμότητα των ειδοποιήσεων στο συγκεκριμένο πείραμα· δεν μετρά το ποσοστό όλων των πραγματικών μυστικών που υπάρχουν στα αποθετήρια. Η ξεχωριστή εκτός παραγωγής αξιολόγηση εξέτασε την ακρίβεια και την ανάκληση πάνω στην ίδια δημόσια κίνηση, γι’ αυτό οι δύο ομάδες αποτελεσμάτων απαντούν σε διαφορετικά ερωτήματα.

Πώς τα συμφραζόμενα περιορίζουν τους λανθασμένους συναγερμούς

Η νέα διαδικασία αρχίζει με κανονικές εκφράσεις που βρίσκουν τιμές οι οποίες μοιάζουν με διαπιστευτήρια. Στη συνέχεια, ένας ταξινομητής βασισμένος στο ModernBERT εξετάζει την υποψήφια τιμή μαζί με τη διαδρομή του αρχείου, τον τύπο του πιθανού μυστικού και περιορισμένο τμήμα του γύρω κώδικα. Οι τιμές που κρίνονται με υψηλή βεβαιότητα ως πραγματικά μυστικά προχωρούν προς ειδοποίηση, ενώ πιθανά δοκιμαστικά υποκατάστατα, παραδείγματα τεκμηρίωσης και αβλαβή αναγνωριστικά φιλτράρονται.

Η διάκριση είναι δύσκολη στα μη δομημένα διαπιστευτήρια, όπως ένας κωδικός πρόσβασης χωρίς χαρακτηριστικό πρόθεμα. Μια τιμή με μορφή κωδικού δίπλα σε διεύθυνση παραγωγικής βάσης δεδομένων έχει διαφορετικά συμφραζόμενα από μια παρόμοια τιμή σε αρχείο δοκιμών. Αντίστοιχα, μια συμβολοσειρά σε ρύθμιση ανάπτυξης μπορεί να σημαίνει κάτι διαφορετικό από μια σύνδεση προς localhost σε οδηγό εγκατάστασης. Ο ταξινομητής αξιολογεί αυτές τις ενδείξεις αφού παραχθούν τα υποψήφια ευρήματα· οι αρχικοί κανόνες παραμένουν μέρος της σάρωσης.

Η εκπαίδευση περιέλαβε παραδείγματα από αποθετήρια, ανθρώπινη επισήμανση και συνθετικές περιπτώσεις που μοιάζουν με μυστικά χωρίς να είναι. Κοινές τιμές ή σχεδόν όμοια παραδείγματα ομαδοποιήθηκαν πριν χωριστούν τα δεδομένα εκπαίδευσης και αξιολόγησης, ώστε να μη βρεθούν και στις δύο πλευρές. Πρόκειται για ουσιώδη λεπτομέρεια της μέτρησης: μια δοκιμή με επαναλαμβανόμενα δείγματα θα μπορούσε να εμφανίσει καλύτερη επίδοση χωρίς αντίστοιχη ικανότητα διάκρισης νέων ευρημάτων.

Ειδοποιήσεις, προστασία κατά το push και Copilot: διαφορετική πρόσβαση

Η ανακοίνωση διαθεσιμότητας της GitHub στις 7 Οκτωβρίου 2026 διαχωρίζει την αυτόματη αναβάθμιση των υπαρχουσών ειδοποιήσεων από την ιδιωτική προεπισκόπηση της προστασίας κατά το push και την προγραμματισμένη προσθήκη στο Copilot· προβλέπει επίσης δημόσια προεπισκόπηση των ειδοποιήσεων στο GitHub Enterprise Server 3.23. Το ίδιο μοντέλο μπορεί επομένως να συμμετέχει σε ελέγχους που εκτελούνται σε διαφορετική στιγμή και απαιτούν διαφορετικό πρόγραμμα ή ενεργοποίηση.

• Ειδοποιήσεις μετά το push: οι πελάτες με υπάρχουσες ειδοποιήσεις για μυστικά εντοπιζόμενα με AI μεταφέρθηκαν αυτόματα στο νέο μοντέλο. Οι ειδοποιήσεις παραμένουν μέρος των GitHub Secret Protection (GHSP) και GitHub Advanced Security (GHAS), χωρίς πρόσθετη χρέωση για τη χρήση του ταξινομητή.
• Προστασία με AI κατά το push: ελέγχει μη δομημένα διαπιστευτήρια πριν γίνει δεκτή η υποβολή, ώστε ένα πιθανό μυστικό να μπορεί να αφαιρεθεί πριν μπει στο ιστορικό του αποθετηρίου. Βρίσκεται σε ιδιωτική προεπισκόπηση. Η προβλεπόμενη διάθεση αφορά GitHub Team και GitHub Enterprise Cloud με αγορασμένο GHSP ή GHAS και απαιτεί ενεργοποίηση από διαχειριστή, σύμφωνα με τις πολιτικές του οργανισμού.
• Copilot /security-review: ο υπάρχων έλεγχος εξετάζει ενεργές αλλαγές σε υποστηριζόμενες συνεδρίες Copilot CLI και Copilot App. Η προσθήκη ελέγχων από τον νέο ταξινομητή έχει ανακοινωθεί για επερχόμενη ιδιωτική προεπισκόπηση. Δεν απαιτείται άδεια GHSP ή GHAS, αλλά η πρόσβαση εξαρτάται από το πρόγραμμα Copilot και τις σχετικές πολιτικές. Η εκτέλεση της εντολής από μόνη της δεν ενεργοποιεί τους νέους ελέγχους μυστικών.
• GitHub Enterprise Server: η σχεδιαζόμενη δημόσια προεπισκόπηση αφορά τις ειδοποιήσεις με AI στο πλαίσιο υπάρχουσας αγοράς GHSP ή GHAS. Η προστασία με AI κατά το push και η εντολή ελέγχου του Copilot δεν περιλαμβάνονται σε αυτή τη διάθεση του Server.

Πότε οι προαιρετικοί έλεγχοι θα καταναλώνουν AI Credits

Η ταχύτερη σάρωση των ήδη διαθέσιμων ειδοποιήσεων δεν συνεπάγεται νέα χρέωση για αυτές. Κατανάλωση GitHub AI Credits προβλέπεται για τους προαιρετικούς ελέγχους προστασίας με AI κατά το push και για την προσθήκη του ταξινομητή στο /security-review. Η χρέωση έχει οριστεί να αρχίσει όταν η αντίστοιχη λειτουργία περάσει σε δημόσια προεπισκόπηση και ενεργοποιηθεί από τον δικαιούχο λογαριασμό.

Στην προστασία κατά το push, η χρήση θα αποδίδεται κατά κανόνα στον οργανισμό που κατέχει το αποθετήριο. Υπάρχει ειδική εξαίρεση για αποθετήρια σε χώρο χρήστη με εταιρικά διαχειριζόμενους χρήστες, όπου η χρήση αποδίδεται στο πρόσωπο που κάνει το push. Ένας έλεγχος μπορεί να καταναλώσει μονάδες ακόμη κι αν δεν εμποδίσει την υποβολή. Στο /security-review, η πρόσθετη χρήση θα χρεώνεται στον λογαριασμό του ενεργού προγράμματος Copilot, επιπλέον της ήδη ισχύουσας χρήσης της ανασκόπησης.

Οι πολιτικές πρόσβασης και οι προϋπολογισμοί μπορούν να περιορίσουν τους νέους ελέγχους όταν ανοίξει η δημόσια προεπισκόπησή τους. Για μια ομάδα που χρησιμοποιεί ήδη τις ειδοποιήσεις μετά το push, αυτή η μετάβαση θα είναι το σημείο στο οποίο θα κριθεί χωριστά αν θα ενεργοποιήσει τον έλεγχο πριν από την υποβολή ή την πρόσθετη ανασκόπηση του Copilot και ποιος λογαριασμός θα αναλάβει τη χρήση.

Διαβάστε επίσης:

• Η ΤΝ εξοικονομεί χρόνο, αλλά ο έλεγχος ποιότητας γίνεται νέα δουλειά
• Cursor ή GitHub Copilot: οι σύνθετες αλλαγές έχουν άλλη τιμή
• LangChain ή LlamaIndex: ο RAG κρίνεται πριν από το μοντέλο