GitHub, secret scanning’i iki aşamalı sistemle yeniledi

Yeni yapı, regex ile aday bulup ModernBERT ile ayıklayarak tarama hızını artırdı, kabul oranını yükseltti ve maliyeti düşürdü.

GitHub, secret scanning sistemini iki aşamalı bir yapıyla yeniden kurdu. Bu yapıda önce regex ile credential benzeri diziler aday olarak işaretleniyor, ardından ince ayar yapılmış ModernBERT sınıflandırıcısı bu adayın gerçekten bir secret olup olmadığına karar veriyor.

Şirket, bu değişikliğin önceki LLM tabanlı boru hattına kıyasla push sonrası tarama çalıştırma süresinin medyanını yüzde 86 azalttığını söylüyor. Aynı değişiklik kullanıcı kabulünü yüzde 11.5 artırdı ve maliyette yüzde 98’den fazla tasarruf sağladı. Daha hızlı sınıflandırıcı, generic secret detection’ı push protection içine taşımayı da pratik hale getirdi; böylece bulgular yalnızca kod commit edildikten sonra değil, push kabul edilmeden önce de ortaya çıkabiliyor. GitHub’a göre sistem, placeholder, örnek, test fixture, checksum ve benzeri lookalike’ları context kullanarak ayıklayacak şekilde tasarlandı, yani yalnızca pattern matching’e bakmıyor.