GitHub'ın bağlam duyarlı gizli anahtar modeli: Daha çok tespit, daha az yanlış alarm

GitHub, kod deposunda sızdırılmış gizli anahtarları (secret) tespit eden sistemini yapay zeka tabanlı bağlam duyarlı bir sınıflandırıcıyla yeniledi. Şirketin paylaşımına göre yeni model, tespit kalitesini yükselterek ağırlıklı kabul oranını (weighted acceptance) yüzde 11,5 artırdı ve medyan tarama süresini yüzde 86 kısalttı.

Gizli anahtar tespiti, API anahtarları, şifreler ve erişim token'ları gibi hassas bilgilerin depolara yanlışlıkla commit edilmesini yakalamaya çalışıyor. Klasik yöntemler belirli kalıpları (regex) aradığı için sık sık yanlış pozitif üretiyor; geliştiriciler hem gerçek sızıntıları ayırt etmek hem de gereksiz uyarılarla uğraşmak zorunda kalıyordu. GitHub'ın yeni sınıflandırıcısı, bulgu çevresindeki kod bağlamını değerlendirerek bir dizginin gerçekten gizli anahtar olup olmadığını yorumluyor.

Rakamlar ne diyor?

Şirketin verdiği iki metrik gelişmenin boyutunu özetliyor: Ağırlıklı kabul oranındaki yüzde 11,5'lik artış, sistemin ürettiği uyarıların kullanıcılar tarafından daha fazla geçerli bulunması, yani gürültünün azaldığı anlamına geliyor. Medyan tarama süresindeki yüzde 86'lık düşüş ise büyük depolarda taramaların çok daha hızlı tamamlanmasını sağlıyor.

Gelişme özellikle açık kaynak projeleri ve kurumsal ekipleri ilgilendiriyor: Sızan bir API anahtarı, saldırganların bulutta veya üçüncü parti servislere yetkisiz erişim sağlaması için yeterli olabiliyor. GitHub'ın gizli tarama (secret scanning) özelliği, depolarında bu tür sızıntuların otomatik olarak yakalanmasını isteyen geliştiriciler için temel bir güvenlik katmanı oluşturuyor. Bağlam duyarlı sınıflandırıcı, bu katmanın hem daha isabetli hem de daha hızlı çalışmasını hedefliyor.