GitHub Uji Perlindungan Rahsia Berasaskan AI Sebelum Kod Dihantar

Kata laluan atau token yang tertinggal dalam kod boleh membuka jalan kepada akses yang tidak sepatutnya. Masalahnya, tidak semua rahsia mempunyai format yang mudah dikenali oleh peraturan carian biasa.

Pada 28 Oktober 2026, GitHub mengumumkan pratonton awam bagi perlindungan push yang menggunakan AI untuk mengesan rahsia berdasarkan konteks kod. Ciri ini bertujuan membantu pasukan menghentikan perubahan yang mencurigakan sebelum ia masuk ke repositori.

Apa yang berubah dalam perlindungan push?

Push protection ialah lapisan pemeriksaan yang boleh menyekat penghantaran kod apabila ia mengesan kemungkinan rahsia yang telah ditulis terus dalam fail. Sebelum ini, pendekatan tersebut bergantung pada corak yang telah ditentukan, termasuk format tertentu yang dikaitkan dengan penyedia perkhidmatan.

Menurut GitHub, pengelas baharu yang dibangunkan bersama Microsoft Applied Sciences menilai cara sesuatu nilai digunakan dalam kod sekelilingnya. Pendekatan ini boleh membantu mengenal pasti rahsia tanpa format khusus yang sudah diketahui. Ia berjalan bersama pengesan berasaskan corak, bukannya menggantikannya.

Dokumentasi GitHub memberikan kata laluan sebagai contoh rahsia tidak berstruktur yang boleh dicari menggunakan konteks. Ciri AI ini masih dalam pratonton awam dan tertakluk kepada perubahan.

Sumber: Push protection beyond predefined secret patterns; Push protection.

Apa berlaku apabila perubahan disekat?

Jika GitHub mengesan kemungkinan rahsia, perubahan akan ditolak dan lokasi yang berkaitan dipaparkan. Pemeriksaan ini meliputi push baharu, commit melalui antara muka GitHub dan muat naik fail ke repositori.

GitHub menyatakan bahawa pembangun perlu membuang rahsia daripada setiap commit yang terkandung dalam push tersebut sebelum mencuba lagi. Membuangnya daripada versi terkini fail sahaja mungkin tidak mencukupi jika nilai itu masih berada dalam commit terdahulu yang hendak dihantar.

Sistem sedia ada juga menyediakan pilihan untuk memintas sekatan atau meminta kelulusan melalui aliran pintasan yang diwakilkan. Dokumentasi menyatakan bahawa pintasan bagi perlindungan repositori boleh menghasilkan amaran dan rekod audit. Menurut pengumuman GitHub, ejen perlu mendapatkan kebenaran sebelum memintas atau mencari jalan mengelakkan sekatan.

Sumber: Push protection beyond predefined secret patterns; Push protection.

Syarat penggunaan dan perkara yang perlu disemak

Perlindungan AI ketika push dimatikan secara lalai. Repositori perlu terlebih dahulu mempunyai pengimbasan rahsia yang dikesan AI dan push protection yang diaktifkan. Pentadbir kemudian boleh menghidupkan pilihan untuk menyekat rahsia yang dikesan AI melalui tetapan atau konfigurasi keselamatan yang sesuai.

Menurut GitHub, pratonton ini tersedia kepada organisasi di GitHub.com yang mempunyai GitHub Secret Protection atau GitHub Advanced Security. Pengesanan AI dalam push protection menggunakan kredit AI dan pengebilan bermula apabila organisasi memilih untuk menyertai pratonton serta mengaktifkan ciri tersebut.

GitHub membezakan kos itu daripada amaran rahsia yang dikesan AI selepas push: pengimbasan selepas push kekal termasuk dalam produk keselamatan berkenaan tanpa caj tambahan. Oleh itu, pasukan perlu memahami perbezaan antara menyekat sebelum penghantaran dan menerima amaran selepas kod dihantar.

Sumber: Push protection beyond predefined secret patterns.

Mengapa pengesanan masih memerlukan pertimbangan manusia

Sekatan ialah isyarat untuk menyemak, bukan bukti muktamad bahawa setiap nilai yang ditanda ialah rahsia aktif. Dokumentasi GitHub menyediakan sebab pintasan seperti keputusan positif palsu atau nilai yang digunakan dalam ujian. Proses semakan tetap penting supaya pembangun tidak membiasakan diri meluluskan setiap sekatan tanpa meneliti konteks.

Sebaliknya, ketiadaan sekatan tidak membuktikan semua rahsia telah ditemui. Pengumuman ini menerangkan keupayaan pengelas dan hasil awal yang dilaporkan oleh GitHub, tetapi pasukan perlu menilai keberkesanannya terhadap kod serta aliran kerja sendiri. Perlindungan sebelum push juga tidak dengan sendirinya membatalkan kelayakan yang sudah terdedah di tempat lain.

Sumber: Push protection beyond predefined secret patterns; Push protection.

Cadangan editorial untuk pasukan IT Malaysia

Bagi pasukan pembangunan di Malaysia yang menggunakan GitHub, mulakan dengan menyemak lesen, tetapan sedia ada dan anggaran penggunaan kredit sebelum memilih beberapa repositori untuk percubaan. Gunakan nilai ujian yang tidak memberikan akses kepada sistem sebenar, kemudian perhatikan sama ada amaran mudah difahami dan berapa kerap semakan manusia diperlukan.

Sediakan proses ringkas untuk menilai sekatan dan meluluskan pintasan, termasuk siapa yang boleh membuat keputusan dan cara merekodkan alasannya. Jika kelayakan sebenar sudah terdedah, anggap ia sebagai insiden berasingan: semak akses, batalkan atau gantikan kelayakan mengikut prosedur organisasi, dan teliti tempat lain yang mungkin menyimpannya.

Untuk pelajar dan pembangun bebas, perkembangan ini juga sesuai dijadikan latihan: bezakan kod aplikasi daripada konfigurasi sensitif, gunakan mekanisme pengurusan rahsia yang sesuai, dan biasakan semakan sebelum berkongsi repositori. Semak kelayakan produk dan kos sendiri; pratonton yang diumumkan tidak bermaksud ciri tersebut tersedia untuk semua akaun.

Sumber: Push protection beyond predefined secret patterns; Push protection.

Rujukan

• Push protection beyond predefined secret patterns — 2026-10-28
• Push protection

Disediakan secara automatik dengan bantuan AI berdasarkan sumber yang dipautkan. Semakan sumber: 2026-11-06. Gambar utama ialah ilustrasi janaan AI, bukan foto peristiwa sebenar.