GitHub lança modelo dedicado para detectar segredo vazado sem formato reconhecível

Também em 7 de outubro, o GitHub lançou um modelo próprio, afinado especificamente para achar credencial vazada que não segue um formato de token reconhecível (por exemplo, uma senha comum). Ele já substitui o modelo anterior em alertas de secret scanning com IA, e chega em preview ao push protection e ao /security-review do Copilot.

Até agora, a detecção de segredo vazado baseada em IA do GitHub dependia de reconhecer o formato do token (prefixo, comprimento, estrutura típica de uma chave de API, por exemplo). O modelo novo, que também leu o código ao redor do segredo suspeito, consegue identificar credencial sem formato reconhecível — uma senha comum, por exemplo — onde o reconhecimento por padrão de token não ajuda. Clientes que já tinham alertas de senha detectados por IA foram migrados automaticamente para o modelo novo, sem custo extra.

Duas frentes novas usam o mesmo modelo, ambas em preview: push protection com detecção de credencial não estruturada no momento do push (antes de entrar no histórico do repositório), e verificação de segredo dentro do /security-review do Copilot CLI e do app. As duas consomem AI Credits quando habilitadas — o alerta de secret scanning em si continua incluído sem custo extra no GitHub Secret Protection e no Advanced Security.

Por que importa

Quem trabalha sozinho e já depende de secret scanning como rede de segurança ganha cobertura maior sem fazer nada — a atualização do modelo em alertas existentes foi automática. Vale notar que as duas funções novas (push protection e checagem no /security-review) são opt-in e cobradas em crédito assim que habilitadas — não é algo para ligar sem checar o impacto no orçamento de AI Credits antes.