De acordo com pt.wedoany.com-O GitHub, em parceria com a equipe Agents Offense da Microsoft Security & AI (Microsoft Security & AI’s Agents Offense team), aplicou o método de validação do Agentic Secret Finder para introduzir mais raciocínio contextual na validação de varredura de segredos do GitHub. Esse método combina o pipeline de detecção em larga escala do GitHub com a validação contextual baseada em LLM, resultando em uma redução de 75,76% na taxa de falsos positivos, superando a meta anterior de 65%. Durante a avaliação, a equipe testou o método com base em 1.500 alertas de falsos positivos confirmados por clientes. Dada a enorme escala do repositório de código do GitHub, os falsos positivos em alertas de varredura de segredos há muito atormentam os desenvolvedores, e o excesso de alertas de baixo valor prejudica a credibilidade do sistema.
A detecção tradicional baseada em correspondência de padrões, embora consiga identificar strings semelhantes a segredos, tem dificuldade em distinguir entre exposições reais e valores que apenas parecem sensíveis. Para enfrentar esse desafio, a equipe não simplesmente aumentou a quantidade de dados analisados, mas focou na extração de um pequeno conjunto de informações de alto sinal. Por exemplo, o sistema verifica se um valor atribuído a uma variável é posteriormente passado para solicitações de API, cabeçalhos de autenticação, clientes de banco de dados ou chamadas de SDK em nuvem. A pesquisa descobriu que a maioria dos falsos positivos pode ser resolvida apenas com o contexto focado no nível do arquivo, enquanto passar o arquivo inteiro ou o repositório introduz muito ruído, aumentando custos e latência. Essa estratégia de "contexto melhor" em vez de "mais contexto" permite que o sistema distinga de forma mais eficaz entre segredos reais e dados de teste ou placeholders.
O método é construído diretamente sobre o sistema de varredura de segredos existente do GitHub, aprimorando a capacidade de percepção contextual da etapa de validação sem alterar a lógica de detecção upstream ou reduzir a cobertura. A varredura de segredos do GitHub originalmente combinava detecção baseada em padrões e detecção universal de segredos orientada por IA, cobrindo dezenas de milhões de desenvolvedores em bilhões de pushes em milhões de repositórios. Esta parceria visa elevar a precisão dos segredos detectados por IA ao mesmo alto padrão da detecção de padrões de provedores.
Essa melhoria reflete-se diretamente na experiência do desenvolvedor. A redução de alertas irrelevantes permite que os desenvolvedores priorizem e corrijam problemas reais mais rapidamente. Atualmente, o GitHub continua avaliando esse método em conjuntos de dados maiores e tráfego em tempo real, otimizando ainda mais o processo de extração de contexto e validação.
Este texto foi elaborado por Wedoany. Qualquer citação por IA deve indicar a fonte “Wedoany”. Em caso de infração ou outros problemas, informe-nos prontamente, por favor. O conteúdo será corrigido ou removido. E-mail: news@wedoany.com
