GitHub го забрза откривањето тајни за 86%, но покриеноста има граници

GitHub во објавата од 13 октомври 2026 година претстави нов скенер за тајни со кој медијанското време на скенирање по push е пониско за 86%, а трошокот за опслужување на моделот за повеќе од 98% во споредба со претходниот систем заснован на голем јазичен модел. Регуларните изрази прво издвојуваат можни пристапни податоци од кодот, а класификатор заснован на ModernBERT потоа го оценува нивниот контекст. Забрзувањето се однесува на времето за извршување на скенирањето, а не на процентот откриени тајни.

Help Net Security ги наведува одделните резултати за истиот скенер: 13% повисока прецизност и 19% повисок одзив при офлајн оценување на скенирањето по push, како и 11,5% поголемо прифаќање на известувањата во кориснички A/B експеримент. Тоа се споредби со претходниот систем, а не апсолутни стапки на откривање. Подобрувањата значат помалку погрешни аларми во оценуваниот сообраќај и повеќе фатени вистински тајни во истиот примерок; не значат дека секоја изложена лозинка или клуч ќе биде пронајдена.

Како регуларните изрази и ModernBERT ја делат работата

Првата фаза бара низи што по својата форма личат на токени, клучеви или други пристапни податоци. Регуларните изрази се поставени да предложат широк круг кандидати брзо и предвидливо. Класификаторот не го пребарува целиот репозиториум самостојно: до него стигнуваат само низите што ги издвојува оваа почетна фаза.

За секој кандидат ModernBERT добива вредност, вид на тајна, патека на датотеката и ограничен дел од околниот код или текст. Имињата на променливите и местото каде што се појавува низата му помагаат да разликува можен вистински пристапен податок од пример во документација, тестна вредност или контролна сума. Резултатот е оценка за веројатноста кандидатот да е вистинска тајна: наодите со доволна сигурност продолжуваат кон известување, а веројатните имитации се филтрираат.

Токму низите што убедливо личат на тајни, а немаат употреблива пристапна вредност, биле важни при обучувањето. Податоците опфаќале примери од работата на производот, кандидати издвоени од репозиториуми и синтетички примери за поретки случаи. Блиски или повторени примери биле групирани пред поделбата на податоците за обучување и оценување, со цел истата низа да не се појави на двете страни и да ја разубави оценката. Моделот потоа е подготвен за брза класификација, задача потесна од создавањето текстуален одговор со голем јазичен модел.

Што мерат брзината, прецизноста и прифаќањето

Времето на скенирање покажува колку трае извршувањето по push во продукциската споредба. Бидејќи станува збор за медијана, резултатот не го опишува најбавниот push, а уште помалку кажува колку тајни имало во скенираната содржина. Понискиот трошок го споредува опслужувањето на компактниот класификатор со повиците до оддалечениот голем јазичен модел. Тоа е инфраструктурна мерка, одвоена од квалитетот на наодите.

Прецизноста го мери уделот на вистински тајни меѓу означените наоди; одзивот го мери уделот на пронајдени тајни меѓу вистинските тајни во оценуваниот примерок. Затоа подобрување на прецизноста зборува за помалку погрешни аларми во таа споредба, додека подобрување на одзивот зборува за помалку пропуштени случаи. Објавени се релативни подобрувања во однос на претходниот систем при оценување на ист јавен сообраќај, без апсолутна стапка што би важела за секој репозиториум и секој вид пристапен податок.

Прифаќањето на известувањата мери нешто трето: како корисниците постапуваат со наодите во продукција. Резултатот е пондериран според сопственикот на репозиториумот за масовното затворање известувања од еден корисник да не доминира во просекот. Таквиот експеримент покажува дали преостанатите аларми се покорисни во секојдневната работа, но корисничкото прифаќање не е независна проверка дека секој означен кандидат навистина бил употреблива тајна.

Каде завршува покриеноста

Првата граница е изборот на кандидати. Ако некој пристапен податок не одговара на обрасците во почетната фаза, ModernBERT нема да го оцени. Постои и граница во самата класификација: вистински кандидат може да добие прениска оценка, а безопасна низа може да помине како наод. Повисокиот одзив во офлајн примерокот покажува напредок во таа споредба, без да го отстрани ризикот од пропуштање во поинаква содржина.

Заштитата пред прифаќање на push има дополнителни, посебни ограничувања. Според документацијата на GitHub за опсегот на скенирањето, таа блокира само подмножество од поддржаните обрасци, може да не поддржува постари верзии на некои токени и може да истече при голем push; кај јавен репозиториум, push поголем од 50 MB се прескокнува во таа фаза. Во одредени случаи последователното скенирање сè уште може да создаде известување. Отсуството на блокада при push затоа не кажува дали во промената има тајна.

Разликата во моментот на откривање има практична тежина. Блокадата може да спречи пристапниот податок да влезе во репозиториумот; известување по push се однесува на содржина што веќе е зачувана. Побързиот класификатор овозможил генеричкото откривање да се прошири и на заштитата при push, но резултатот измерен за скенирање по push не е ветување дека секое внесување ќе биде запрено однапред.

Што останува надвор од скенирањето

За развојните и безбедносните тимови, помалку погрешни аларми значат дека преостанатите наоди можат побрзо да добијат внимание. Класификаторот, сепак, одлучува дали низа личи на употреблива тајна во достапниот контекст; тој не ја ограничува моќта на веќе издаден клуч и не го поништува неговото важење. Затоа чувањето пристапни податоци надвор од кодот и ограничувањето на нивните овластувања остануваат различни контроли од откривањето.

Кога известувањето пристигнува по push, тимот што управува со пристапниот податок мора да утврди дали тој сè уште важи, каде може да бил употребен и дали треба да се повлече или замени. GitHub планира да користи повратни сигнали за пропуштени и погрешни наоди при понатамошно обучување и разгледува модели што би ги споиле откривањето и извлекувањето во еден чекор. Засега конкретната промена за тимовите е побрза процена на кандидатите и помалку шум, додека постапувањето со изложен клуч останува нивна одговорност.

Прочитајте и:

• Toggl Track или Clockify: бесплатниот план веќе има тесна граница
• GitHub сега препознава пет нови тајни — Lovable-клучот може веднаш да се повлече
• Chargebee или Recurly: наплатата на обем ја крие вистинската граница