GitHub adopta un modelo de IA más económico para detectar los secretos que los desarrolladores dejan en el código
GitHub ha entrenado un clasificador de credenciales para optimizar la detección genérica de secretos y disminuir las alertas erróneas. Este nuevo flujo disminuyó de forma notable el tiempo de ejecución en los análisis posteriores al envío y redujo drásticamente los gastos de servicio del modelo en comparación con su infraestructura previa basada en modelos de lenguaje grande. La revisión de seguridad abarca tanto la protección durante el envío como el análisis posterior en los repositorios, y la velocidad de esta herramienta permitió ampliar la detección genérica hacia la propia función de protección en los envíos.
Para evaluar los posibles secretos, el sistema utiliza primero expresiones regulares que localizan cadenas similares a contraseñas o tokens de acceso, las cuales son analizadas posteriormente mediante un modelo ModernBERT ajustado. Dicho modelo examina la ruta del archivo, el tipo de credencial, los nombres de las variables y el contexto circundante para otorgar una puntuación que determina la probabilidad de que se trate de un secreto real, filtrando así los falsos positivos. La compañía construyó sus conjuntos de datos de entrenamiento y validación utilizando retroalimentación de productos, ejemplos reales de repositorios y datos sintéticos validados tanto por humanos como mediante revisiones automatizadas.
En las evaluaciones offline, el nuevo flujo superó al sistema anterior al ofrecer mayor precisión y capacidad de recuperación en la detección de credenciales reales. Además, las pruebas con clientes mostraron un incremento en la aceptación de alertas ponderadas por los propietarios de los repositorios. De cara al futuro, la organización pretende utilizar los comentarios del entorno de producción para seguir alimentando sus datos de entrenamiento y evalúa nuevas arquitecturas que unifiquen la detección y la extracción de secretos en un único paso.