Код push хийхээс өмнө нууц үгийг 2 миллисекундэд илрүүлнэ: GitHub AI-д суурилсан "Push Protection"-оо танилцууллаа

Хөгжүүлэгч бүрийн хамгийн том хар дарсан зүүд юу вэ? Мэдээж .env файл, датабэйсийн үндсэн нууц үг эсвэл үйлдвэрлэлийн серверийн API түлхүүрээ санамсаргүйгээр кодондоо хатуу хадаж (hardcode), улмаар git push хийгээд нийтийн репозиторт цацах явдал юм. Хэдийгээр олон системүүд сүүлийн жилүүдэд нууц сканнердах (secret scanning) хэрэгслүүдийг нэвтрүүлсэн ч ихэнх нь зөвхөн урьдчилан танигдсан загвартай токенуудыг л шүүж чаддаг байв.

Өнөөдөр GitHub болон Microsoft Applied Sciences хамтран уг асуудлыг сууриар нь шийдвэрлэх шинэ үеийн хиймэл оюуны шийдлээ албан ёсоор танилцууллаа. Тэд орчин үеийн ModernBERT архитектур дээр тусгайлан файн-тюн (fine-tune) хийсэн хөнгөн ангилагч (classifier) моделийг Push Protection системдээ нэгтгэсэн бөгөөд уг загвар нь ямар ч тогтсон хэлбэргүй нууц үгсийг хүртэл эргэн тойрны кодын контекстоос нь хамааруулан 2 миллисекундээс бага хугацаанд илрүүлж чаддаг болжээ.

Тогтсон хэлбэргүй нууцууд ба "секундэд хоёр нууц" алдагдах бодит байдал

GitHub-ийн хуваалцсан статистик мэдээллээс үзвэл, өнөөдөр олон нийтэд нээлттэй хадгалагдаж буй кодод хоёр секунд тутамд шинээр нэг нууц түлхүүр алдагдаж байна. Сүүлийн хоёрхон жилийн хугацаанд (2024 оноос 2026 он хүртэл) GitHub-ээр шалгагдсан push-ийн тоо 2.84 дахин өссөн бол үүний дотор нууц мэдээлэл агуулсан тохиолдлууд 2.59 дахин өсжээ. Энэ өсөлтийн томоохон шалтгаан нь хиймэл оюуны код үүсгэгч агент болон туслахуудын эрчимтэй хэрэглээ бөгөөд одоогийн нийт Pull Request-үүдийн гуравны нэгийг AI агентууд үүсгэж буйтай холбоотой юм.

Үүнээс өмнө ашиглагдаж байсан уламжлалт "Regex" буюу тогтмол илэрхийлэлд суурилсан илрүүлэгчид AWS хандалтын түлхүүр (AKIA...) эсвэл GitHub хувийн токен (ghp_...) зэрэг тодорхой форматтай мөрүүдийг сайн барьдаг байв. Гэвч хөгжүүлэгчдийн хамгийн их алддаг зүйл бол:

• Чөлөөт хэлбэрээр бичигдсэн Postgres / MySQL холболтын нууц үг
• Dockerfile болон Kubernetes Secret манифест дотор өгөгдсөн энгийн нууц үгс
• Хэлбэр загваргүй, хувьсагчийн нэрээр л танигдах эмзэг мэдээллүүд

Уламжлалт арга барил нийт шинээр алдагдаж буй нууцуудын ердөө 30 орчим хувийг л push хийх явцад урьдчилан таслан зогсоож чадаж байсан юм. Үлдсэн хэсэг нь репозиторын git түүхэнд бичигдсэний дараа сканнераар илэрдэг тул хөгжүүлэгчид түлхүүрээ дахин солих (rotate), commit history-оо цэвэрлэх зэрэг асар их ажил ундардаг байв.

Яагаад нүсэр LLM биш гэж? ModernBERT-ийн архитектурын давуу тал

Код шалгах даалгаварт олон тэрбум параметртэй generative LLM ашиглах нь зардал болон хурдны хувьд хэтэрхий өндөр өртөгтэй тусдаг. git push комманд ажиллах явцад хөгжүүлэгч дэлгэцийн өмнө 2-3 секунд хүлээх нь маш таагүй хэрэглэгчийн туршлага (developer experience) болно. Хэрэв саатал үүсвэл хөгжүүлэгчид хамгаалалтыг алгасах (--no-verify) тохиргоо хийж эхэлдэг.

Тиймээс GitHub-ийн инженерүүд Microsoft Applied Sciences-тай хамтран текст генераци хийдэг загварын оронд код шинжлэхэд оновчтой тохируулсан ModernBERT дээр тулгуурласан ангилагчийг бүтээжээ.

• Асар өндөр хурд: Загвар нь шалгах шаардлагатай сэжигтэй утгуудын багцыг (batch) 2 миллисекундээс бага хугацаанд бүрэн шинжилж дуусгадаг. Энэ нь push процессын сүлжээний хугацаанд бараг мэдэгдэхгүй нэмэгдэл ачаалал юм.
• Хам сэдвийн ойлголт (Context awareness): Уг модель нь зөвхөн тэмдэгтийн цувааг хараад зогсохгүй, тухайн утгын өмнө ба хойно бичигдсэн кодын синтакс, хувьсагчийн нэр, орчны тохиргооны түлхүүрүүдийг бүхэлд нь уншиж дүн шинжилгээ хийнэ.
• Хуурамч дохиоллыг (False Positives) дарах чадвар: Хамгийн чухал нь уг загвар нь жинхэнэ нууц мэдээлэл болон туршилтын түр утгуудыг (mock/placeholder) хооронд нь гайхалтай ялгаж сурчээ. Тухайлбал, changeme, dummy_secret_123 зэрэг локал туршилтын үгсийг ялгаж таньснаар кодын урсгалыг дэмий гацаахаас сэргийлдэг.

GitHub-ийн мэдээлснээр шинэ загвар нь Push Protection-ийн барьж чадах нийт нууц мэдээллийн тоог хоёр дахин нэмэгдүүлнэ гэж үзэж байна.

Систем хэрхэн нэвтэрч байгаа вэ?

Шинэ хиймэл оюуны шалгалт дараах түвшнүүдэд үе шаттай хүрч байна:

1. GitHub Push Protection (Private Preview): GitHub Secret Protection эсвэл Advanced Security эрхтэй байгууллагуудад зориулан энэ сарын сүүлээр нийтийн хэрэглээнд бүрэн очиж эхэлнэ.
2. Copilot CLI ба Copilot App: Хөгжүүлэгчид кодоо алсын сервер рүү илгээхээсээ ч өмнө локал терминал дээрээ /security-review комманд ажиллуулан шинэ загвараар скан хийх боломж бүрдэж байна.
3. GitHub Enterprise Server 3.23: Гадаад сүлжээнээс тусгаарлагдсан (air-gapped) дотоод сервер ашигладаг томоохон байгууллагуудад public preview хувилбараар очих юм.

Дүгнэлт

Хиймэл оюун ашиглан код бичих нь маш хурдан болсон ч үүнийг дагаад аюулгүй байдлын эрсдэл асар богино хугацаанд үржиж байна. GitHub-ийн энэхүү алхам нь AI-ийг зөвхөн чатлах эсвэл код автоматаар бичихэд бус, харин системийн чухал гарц дээр хэт бага хоцролттойгоор (ultra-low latency) дэд бүтцийн түвшинд аюулгүй байдлыг хангах хөнгөн моделиудыг ашиглаж болох төгс жишээ боллоо. Хэрэв та одоо төсөл дээрээ Push Protection асаагаагүй байгаа бол өнөөдрөөс эхлэн идэвхжүүлэхийг зөвлөж байна.

---

Эх сурвалж: The GitHub Blog - Secret protection must scale with software, Help Net Security