GitHub-ը գաղտնաբառ է որսում 2 մվ-ում, իսկ նոր ստուգումները կվճարվեն

GitHub-ը 2026 թվականի հոկտեմբերի 7-ին ներկայացրեց Microsoft Applied Sciences-ի հետ մշակված ModernBERT դասակարգիչը․ ընկերության չափմամբ այն կոդի համատեքստում գաղտնիք պարունակելու հավանականություն ունեցող արժեքների խմբաքանակը գնահատում է 2 մվ-ից պակաս ժամանակում։ Նոր մոդելն արդեն կիրառվում է գործող AI-detected Password ահազանգերում, իսկ push-ի պահին գաղտնիք հայտնաբերող հնարավորությունը մասնավոր նախնական հասանելիության փուլում է։

GitHub-ի հոկտեմբերի 7-ի հայտարարության համաձայն՝ գործող ահազանգերի թարմացումը GitHub Secret Protection (GHSP) կամ GitHub Advanced Security (GHAS) ունեցող հաճախորդների համար հավելյալ վճար չունի։ Push protection-ի նոր ստուգման և Copilot-ի /security-review հրամանին ավելացվող ստուգման համար նախատեսվում է AI Credits-ի հաշվառում։ Copilot-ի լրացուցիչ ստուգումը դեռ սպասվող մասնավոր նախնական հասանելիություն է. գործող հրամանի առկայությունը չի նշանակում, որ նոր ստուգումն արդեն միացված է։

Որ ստուգումն է ներառված, և որոնք են դեռ նախնական փուլում

Նույն դասակարգիչը նախատեսված է ծրագրային աշխատանքի տարբեր պահերի համար, սակայն այդ կիրառումների հասանելիությունն ու վճարումը տարբեր են։ Գործող ահազանգը հայտնվում է պահոցում արդեն առկա գաղտնիքի համար, push protection-ը ստուգում է փոխանցման պահին, իսկ Copilot-ի լրացուցիչ ստուգումը նախատեսված է անվտանգության վերանայման ընթացքում։

• Արդեն ներառված՝ AI-detected Password ահազանգեր։ Գործող սկանավորումն ինքնաբերաբար անցել է նոր մոդելին և շարունակում է մտնել GHSP-ի կամ GHAS-ի գնման մեջ՝ առանց այդ ահազանգերի համար հավելյալ AI Credits-ի։ Սա բոլոր GitHub հաշիվների համար անվճար հասանելիություն չի նշանակում. պայմանը նշված պաշտպանական ծածկույթն է։
• Մասնավոր նախնական հասանելիություն՝ AI push protection։ Այս տարբերակը փոխանցման պահին ստուգում է նաև այն գաղտնաբառերը, որոնք չունեն ճանաչելի ձևաչափ, որպեսզի դրանք հնարավոր լինի հեռացնել նախքան պահոցի պատմության մեջ հայտնվելը։ Հնարավորությունը պետք է միացնի ադմինիստրատորը՝ կազմակերպության կամ ձեռնարկության քաղաքականությանը համապատասխան։
• Սպասվող մասնավոր նախնական հասանելիություն՝ Copilot-ի գաղտնիքի ստուգում։ Դասակարգիչը նախատեսվում է ավելացնել Copilot CLI-ի և Copilot App-ի /security-review հրամանին։ Լրացուցիչ ստուգումը լռելյայն անջատված է, և սովորական /security-review գործարկումը այն չի ակտիվացնում։ Դրա համար GHSP կամ GHAS լիցենզիա չի պահանջվի։

AI Credits-ը վերաբերում է վերջին երկու կամավոր միացվող ստուգումներին, ոչ արդեն գործող AI-detected ահազանգերին։ Կրեդիտների հաշվառման ներդրումը հայտարարված էր առաջիկա շաբաթների համար. նախնական հասանելիության կարգավիճակն ինքնին չի նշանակում, որ բոլոր հաճախորդներից վճարն արդեն գանձվում է։

Ինչ է չափում արագության ցուցանիշը

Հրապարակված արագությունը վերաբերում է հավանական գաղտնիքների խմբաքանակի դասակարգմանը, ոչ ամբողջ push գործողությանը։ Դասակարգիչը կարդում է արժեքին հարակից կոդը՝ որոշելու համար, թե տվյալ տողը կարող է մուտքային տվյալ լինել։ Այն կոդ կամ տեքստ չի ստեղծում, իսկ արագության ցուցանիշը GitHub-ի ներկայացրած չափումն է, ոչ անկախ փորձարկման արդյունք։

Համատեքստն անհրաժեշտ է հատկապես ներքին գաղտնաբառերի դեպքում։ Ծառայության թողարկած բանալին կարող է ճանաչելի նախածանց ունենալ, մինչդեռ տվյալների բազայի գաղտնաբառը սովորական տողի նմանվել։ Ներկայացված օրինակներում մոդելը հավանական գաղտնիք է տարբերակում տվյալների բազայի URL-ում, Kubernetes Secret նկարագրության մեջ և Dockerfile-ում, բայց բաց է թողնում «changeme» փոխարինիչը։

Փոխանցումը կասեցնող ստուգման համար սխալ ազդանշանն անմիջապես ընդհատում է աշխատանքը, մինչդեռ արդեն բացված ահազանգը հնարավոր է ուսումնասիրել ավելի ուշ։ Այդ պատճառով նույն դասակարգչի կիրառումը push protection-ում պահանջում է և՛ արագություն, և՛ բավարար ճշգրտություն։ GitHub-ի գնահատմամբ այն կարող է ավելի քան կրկնապատկել կանխվող գաղտնիքների թիվը. սա հնարավոր արդյունքի մասին ընկերության կանխատեսումն է, ոչ բոլոր պահոցներում արդեն արձանագրված ցուցանիշ։

Որ հաշիվն է վճարելու AI Credits-ը

AI push protection-ի համար GitHub Team կամ GitHub Enterprise Cloud միջավայրում պահանջվում է վճարովի GHSP կամ GHAS ծածկույթ։ Նախատեսված հաշվառմամբ ստուգման կրեդիտները վերագրվելու են պահոցը տնօրինող կազմակերպությանը, և ստուգումը կարող է կրեդիտ ծախսել նույնիսկ եթե push-ը չի արգելափակվում։ Բացառություն են ձեռնարկության կողմից կառավարվող օգտատերերի անձնական անվանատարածքի պահոցները. այնտեղ օգտագործումը վերագրվում է փոխանցումն իրականացրած օգտատիրոջ հատկացված կրեդիտներին։

Copilot-ի դեպքում վճարող հաշիվը որոշվում է ակտիվ Copilot պլանով։ /security-review հրամանի գործող վերանայմանը ավելացվող գաղտնիքի ստուգումը նախատեսվում է հաշվարկել AI Credits-ով՝ վերանայման արդեն կիրառվող օգտագործումից բացի։ Ծախսերի պատկերում այդ նոր օգտագործումը նշվելու է GitHub Secret Protection-ի ներքո, թեև գանձումը բաժին է ընկնելու Copilot պլանի հաշվարկային հաշվին։ Copilot բաժանորդագրությունը չի փոխարինում push protection-ի համար պահանջվող GHSP կամ GHAS ծածկույթին։

Հաշվառման մեկնարկը կախված է հնարավորությանը մասնակցելուց և այն միացնելուց։ Push protection-ի համար վճարումը սկսվելու է, երբ կազմակերպությունը միանա հրապարակային նախնական փուլին և ակտիվացնի ստուգումը։ Copilot-ի լրացուցիչ ստուգման համար նույնպես պահանջվում են նախնական փուլին միանալը և ակտիվացումը։ Մասնավոր փուլում AI push protection-ն արդեն օգտագործող կազմակերպությունների շարունակական ստուգումները կրեդիտ կծախսեն հայտարարված հաշվառման փոփոխությունն ուժի մեջ մտնելուց հետո։

Ինչ պետք է ստուգի ադմինիստրատորը միացնելուց առաջ

Հարթակը որոշում է, թե նոր մոդելի որ կիրառումն է հասանելի։ GitHub Enterprise Server-ի 3.23 տարբերակի հրապարակային նախնական փուլը նախատեսված է AI-ով հայտնաբերվող ահազանգերի համար՝ առկա պաշտպանական գնման շրջանակում. այդ թողարկման մեջ նոր AI push protection-ը և Copilot-ի /security-review հրամանը ներառված չեն։ Տվյալների տեղակայմամբ ghe.com միջավայրի համար AI push protection-ը նույնպես նշված է որպես նախատեսվող հնարավորություն։

Միացնելու որոշման համար հարկավոր է առանձին պարզել պահոցի իրավունքը, կազմակերպության քաղաքականությունը և վճարող հաշիվը։ Պահոցի լիցենզիան որոշում է push ստուգման իրավունքը, քաղաքականությունը՝ ով կարող է այն ակտիվացնել, իսկ հաշվառման կանոնը՝ ում կրեդիտներից է օգտագործումը հանվելու։

1. Ստուգել, թե որ պահոցներն ունեն GHSP կամ GHAS ծածկույթ, որ հարթակում են դրանք, և արդյոք կազմակերպությունն արդեն մասնակցում է AI push protection-ի մասնավոր փուլին։
2. Պարզել, թե կազմակերպության կամ ձեռնարկության քաղաքականությամբ ով կարող է միացնել push ստուգումը և Copilot-ի լրացուցիչ գաղտնիքի ստուգումը։ Վերջինիս համար կարևոր է նաև ակտիվ Copilot պլանը։
3. Առանձնացնել վճարման պատասխանատուին՝ պահոցը տնօրինող կազմակերպություն, բացառության դեպքում փոխանցող օգտատեր, կամ ակտիվ Copilot պլանի հաշվարկային հաշիվ։
4. Secret Protection AI Credits-ի համար սահմանել առանձին բյուջե և որոշել՝ պետք են միայն շեմային ծանուցումներ, թե նաև օգտագործումը սահմանին հասնելիս կանգնեցնող կարգավորում։ GitHub-ի բյուջեի կարգավորման ուղեցույցը նշում է, որ միայն ծանուցումները օգտագործումը չեն կանգնեցնում, իսկ դադարեցման կարգավորումը գործում է այնտեղ, որտեղ այն հասանելի է։

Նոր ստուգումների ծախսը գործնական հարց կդառնա նախնական հասանելիությանը միանալուց և AI Credits-ի հաշվառումն ուժի մեջ մտնելուց հետո։ Մինչ այդ ադմինիստրատորի որոշման համար վճռորոշ են յուրաքանչյուր հնարավորության հասանելիությունն ու այն հաշիվը, որին վերագրվելու է օգտագործումը։

Կարդացեք նաև:

• Microsoft-ի նոր խոսքի ճանաչումը սկսում է գրել մոտ 100 մվ-ում, բայց դեռ preview է
• TikTok-ը որսում է ԱԲ սպամի հաշիվները, բայց պիտակները դեռ բացեր ունեն
• GitHub Actions թե GitLab CI․ մեկ րոպեն երկու հարթակում նույն արժեքը չունի