GitHub, gizli anahtar korumasını yapay zekâ ile genişletiyor

GitHub gizli anahtar koruması için yeni sınıflandırıcı

GitHub, kod üretim hızındaki artışa paralel olarak GitHub gizli anahtar koruması kapsamını genişletmek üzere Microsoft Applied Sciences ile geliştirdiği ince ayarlı bir sınıflandırıcıyı duyurdu. Şirketin açıklamasına göre model, push protection sistemini yapılandırılmamış gizli anahtarlara uzatmayı hedefliyor.

GitHub, sınıflandırıcının bir aday gizli anahtar kümesini iki milisaniyeden kısa sürede değerlendirebildiğini söylüyor. Şirketin verdiği tahmine göre bu yaklaşım, engellenebilen gizli anahtar sayısını iki katın üzerine çıkarabilir. Bu ifade, hedeflenen kapasite artışını anlatıyor; açıklamada bunun şimdiden gerçekleştiğine dair bir sonuç paylaşılmıyor.

Duyurunun merkezindeki yaklaşım, yazılım üretimi hızlandıkça koruma mekanizmalarının da daha fazla işi otomatik üstlenmesi. GitHub, hem daha fazla sızıntının oluşmadan engellenmesi hem de yaşanan sızıntılara verilecek yanıtın insan emeğine daha az bağımlı olması gerektiğini savunuyor.

Yapay zekâ ajanları pull request’lerde daha görünür

GitHub’ın paylaştığı verilere göre bugün platformdaki her üç pull request’ten biri bir yapay zekâ ajanını içeriyor. Şirket, bir yıl önce bu oranın 10’da birin altında olduğunu belirtiyor.

GitHub, bu hızın sürmesi durumunda önümüzdeki iki yıl içinde platforma gönderilen kodun çoğunun bir ajan tarafından yazılabileceğini öngörüyor. Açıklamaya göre bu kodun önemli bir bölümü bir insan tarafından tamamen okunmadan da ilerleyebilir.

Şirket, bu değişimi geliştiricilerin daha dikkatsiz hâle geldiğinin kanıtı olarak görmediğini vurguluyor. Bunun yerine, geliştiricilerin ve ajanların kod üretim temposunun güvenlik süreçlerini geride bıraktığı değerlendirmesini yapıyor.

Dokuz çeyreklik veride net bir artış eğilimi yok

GitHub, 2024’ün ikinci çeyreği ile 2026’nın ikinci çeyreği arasındaki dokuz tamamlanmış çeyreğe ait verileri incelediğini aktarıyor. Bu dönemde taranan push sayısı 2,84 kat artarken, kimlik bilgisi taşıyan push sayısı 2,59 kat yükseldi.

Şirket, push başına gizli anahtar görülme sıklığında istatistiksel olarak tespit edilebilir bir eğilim bulmadığını ifade ediyor. Paylaşılan grafikte 2026’nın ikinci çeyreği için 574 milyon genel push ve bunların yüzde 0,47’sinde gizli anahtar tespiti yer alıyor.

Bu hesaplama, GitHub’ın desteklenen sağlayıcı desenlerini ve kendi token’larını kapsıyor. Dolayısıyla açıklanan oran, şirketin bu kapsamdaki tespitlerine dayanıyor; tüm olası gizli bilgi türlerine ilişkin genel bir ölçüm olarak sunulmuyor.

Gizli anahtar sızıntıları iki saniyede bir görülüyor

GitHub’a göre herkese açık kodda yaklaşık her iki saniyede bir yeni bir gizli anahtar ortaya çıkıyor. Şirket, bu sayının son üç yılda her yıl iki katına çıktığını belirtiyor.

Buna karşın GitHub, verilerin geliştiricilerin riski daha fazla kabul ettiğini göstermediği görüşünde. Şirketin açıkladığı ölçümde, push yolundaki engellemelerin geliştiriciler tarafından geçersiz kılınma oranı aynı zaman diliminde doğrusal biçimde yüzde 6,63’ten yüzde 3,93’e geriledi.

GitHub bu düşüşü, geliştiricilerin kazara gerçekleşen ifşaların riskini anladığına ve bu riski kabul etmeye daha az istekli olduğuna işaret eden bir veri olarak yorumluyor. Şirketin mesajı, koruma yükünün yalnızca geliştirici davranışına bırakılmaması gerektiği yönünde.

GitHub gizli anahtar koruması neden ölçeklenmek istiyor?

GitHub’ın duyurusu, kod yazımını hızlandıran araçların güvenlik tarafında da daha fazla sorumluluk alması gerektiği fikrine dayanıyor. Şirketin değerlendirmesinde sorun, daha fazla yazılım üretilirken gizli anahtarların korunmasına yönelik süreçlerin aynı ölçüde büyümemesi.

Yeni sınıflandırıcı bu çerçevede, bilinen ve belirli biçimleri olan kimlik bilgileriyle sınırlı kalmayan bir tespit yaklaşımına işaret ediyor. GitHub’ın açıklamasında özellikle yapılandırılmamış gizli anahtarlar için push protection kapsamının genişletilmesinden söz ediliyor.

Şirketin paylaştığı veriler, kod üretimindeki büyümenin somut olduğunu; ancak push başına tespit edilen gizli anahtar oranında net bir yükseliş trendi görülmediğini ortaya koyuyor. GitHub, bu nedenle güvenlik araçlarının kod üretim hızına yetişecek biçimde otomasyon ve ölçek kazanması gerektiğini savunuyor.