Git Push хийхээс өмнө нууц үгийг 2 миллисекундэд барина: GitHub шинэ ModernBERT загвараа танилцууллаа

AI эрин үеийн Git: Хүнээс хурдан бичигдэж буй кодын эрсдэл

Сүүлийн нэг жилийн дотор програм хангамж хөгжүүлэлтийн хэмнэл танигдахын аргагүй өөрчлөгдлөө. GitHub-ийн хамгийн сүүлийн тайлангаас үзвэл, тус платформ дээр орж буй нийт Pull Request (PR)-ийн 3 тутмын 1 нь AI агентын оролцоотойгоор бүтээгдэж байна. Ердөө жилийн өмнө энэ үзүүлэлт 10-д нэг байсан бол өдгөө хөгжүүлэгчид өөрсдөө код гараараа шивэхээс илүү AI агентуудад даалгавар өгч, хянаж амжихгүй их хэмжээний өөрчлөлтийг төсөлд нэгтгэх болжээ.

Гэвч хурд нэмэгдэхийн хэрээр хамгийн эмзэг асуудал хурцаар тавигдаж эхлэв: энэ бол нууц түлхүүр (secrets, credentials, API keys) код руу алдагдах эрсдэл юм. GitHub-ийн статистикаар олон нийтэд ил харагдах кодонд дунджаар хоёр секунд тутамд нэг шинэ secret алдагдаж байна. Хэрэв үйлдвэрлэлийн түвшний системийн нууц кодонд алдагдвал хүн түүнийг олж устгах, нууц үгийг солих (revocation) үйл явц дунджаар 40 хоног үргэлжилдэг бөгөөд нийт алдагдлын 20 орчим хувь нь 90 гаруй хоног хөндөгдөөгүй хэвээр үлддэг гашуун бодит байдал бий.

Үүний эсрэг GitHub болон Microsoft Applied Sciences багийнхан хамтран ажиллаж, кодонд нуугдсан бүтэцгүй нууц үгсийг git push хийх эгшинд 2 миллисекундэд барьж хориглох чадвартай ModernBERT суурилсан шинэ AI ангилагчийг танилцууллаа.

Регекс (Regex) болон том хэлний загваруудын (LLM) мухардал

GitHub өмнө нь "Push Protection" боломжоороо дамжуулан олон тооны нууцыг хамгаалж ирсэн. Гэвч уламжлалт арга барилд томоохон хязгаарлалт байлаа:

Регекс загварын хязгаар: AWS түлхүүр (AKIA...), GitHub token (ghp_...) эсвэл OpenAI түлхүүр (sk-...) зэрэг тодорхой угтвар, бүтэцтэй түлхүүрүүдийг Regular Expression (Regex) ашиглан маш хялбар таньж болдог. Гэвч өгөгдлийн сангийн холболтын нууц үг (database password), Redis credentials, эсвэл дотоод системийн нууц үгс нь ямар ч тусгай угтваргүй, энгийн текст мөр (string) шиг харагддаг.
Generative LLM-ийн удаашрал ба өртөг: Хөгжүүлэгчийн git push хийх үйлдэл нь системийн хувьд маш чухал шуурхай зам (critical path) юм. Хэрэв push болгон дээр бүрэн хэмжээний том хэлний загвар (LLM) ажиллуулбал хариу үйлдэл үзүүлэх хугацаа 2-5 секунд хүртэл удааширч, сервер талын тооцооллын зардал асар их болно. Хөгжүүлэгч бүр коммит хийх тоолондоо хэдэн секунд хүлээхийг тэвчихгүй нь ойлгомжтой.
Хуурамч дохиолол (False Positives): Өмнөх шийдлүүд туршилтын код доторх password = "changeme" эсвэл db_pass = "root" гэх мэт хоргүй туршилтын утгуудыг жинхэнэ нууц үгнээс салгаж чадалгүй андуурч, ажлын явцыг тасалдуулах тохиолдол их гардаг байв.

Эдгээр сорилтын улмаас өнөөдрийг хүртэл нийт алдагдсан нууц мэдээллийн ердөө 30 орчим хувийг л репозиторын түүхэнд орохоос өмнө (pre-push) амжиж зогсоож чадаж байжээ. Үлдсэн 70% нь аль хэдийн Git commit түүхэнд бичигдсэний дараа илэрдэг байсан юм.

ModernBERT: 2 миллисекундэд контекстийг ойлгох нь

Энэхүү "Дөрвөн биетийн асуудал" (Precision, Latency, Throughput, Cost) буюу нарийвчлал, хүлээлтийн хугацаа, нэвтрүүлэх чадвар, зардлын зөрчлийг шийдэхийн тулд инженерийн баг Generative AI буюу чатбот загваруудаас татгалзаж, код шинжлэхэд тусгайлан зориулж нарийн тааруулсан (fine-tuned) ModernBERT ангилагчийг бүтээжээ.

Энэхүү шинэ загвар нь текст үүсгэдэггүй, зөвхөн тухайн код доторх сэжигтэй утгын эргэн тойрон дахь синтакс болон семантик хүрээг (context) маш өндөр хурдаар уншиж ангилдаг.

Системийн гол онцлогууд:

Хэт бага хугацаа (< 2ms): Сэжигтэй өгөгдлийн багцыг үнэлэх загварын хугацаа хоёр хүрэхгүй миллисекунд тул хөгжүүлэгч git push origin main комманд өгөхөд ямар ч саатал мэдрэгдэхгүй.
Контекстийн мэдрэмж: Dockerfile, Kubernetes Secret манифест, өгөгдлийн сангийн URI холболтын мөр зэрэг олон төрлийн файлын бүтцээс жинхэнэ нууц үгийг алдалгүй танина.
Түр зуурын утгыг ялгах чадвар: password = "admin" эсвэл password = "changeme" гэх мэт тест, mockup зориулалттай дамми утгуудыг бодит түлхүүрүүдээс алдаагүй ялгаж, хуурамч анхааруулга өгөхөөс сэргийлдэг.
Хамгаалалтыг хоёр дахин нугалах үзүүлэлт: Шинэ ангилагч нэвтэрснээр Push Protection-ийн өмнө нь алддаг байсан бүтэцгүй нууц үгсийг таслан зогсоох боломж 2 дахин өсөхөөр байна.

Хөгжүүлэгчдийн ажлын урсгалд хэрхэн нөлөөлөх вэ?

Энэхүү боломж нь одоогоор GitHub-ийн байгууллагын хэрэглэгчдэд зориулсан хаалттай туршилтад (private preview) орсон бөгөөд энэ сардаа багтан Secret Protection эрхтэй багуудад бүрэн нээгдэх юм.

Мөн үүгээр зогсохгүй, тус ModernBERT ангилагчийг хөгжүүлэгчдийн өдөр тутмын хэрэгсэл болох Copilot CLI болон Copilot App-ийн /security-review коммандад нэгтгэж байна. Ингэснээр та Git рүү push хийхээсээ ч өмнө, терминал дотроо шууд аюулгүй байдлын шалгалт хийлгэж, нууц үг санамсаргүй орсон эсэхийг хормын төдийд мэдэх боломжтой болно.

Дүгнэлт

AI кодчлолын туслахууд болон автономит агентууд бидний ажлын хурдыг 10 дахин нэмэгдүүлж буй энэ үед хуучин арга барилын аюулгүй байдлын шалгуурууд хүчин мөхөсдөж байв. Хүн бүх бичигдсэн кодыг уншиж амжихгүй болсон цагт хариу үйлдэл үзүүлдэг хамгаалалт биш, код репозиторын босгыг давахаас өмнө милисекундийн дотор шийдвэр гаргадаг жижиг, тусгай зориулалтын "Narrow AI" загварууд хамгийн чухал үүрэг гүйцэтгэх болсныг энэхүү шинэчлэлт бэлхнээ харуулж байна.

Хөгжүүлэгч та одооноос эхлэн өөрийн GitHub репозиторын Push Protection тохиргоог шалгаж, хүрээлэн буй орчны хувьсагч (.env), өгөгдлийн сангийн нууц үгээ кодын сандаа шууд шивэхээс сэргийлэх зуршлыг багтаа хэвшүүлээрэй.

Эх сурвалж: GitHub Blog - Secret protection must scale with software (October 2026), Help Net Security