GitHub setzt ModernBERT-Modell ein, um Leaks von Anmeldedaten vor dem Push zu blockieren

GitHub baut sein Framework für Secret Protection aus, um den Sicherheitsherausforderungen einer beschleunigten Codeerstellung zu begegnen. Dafür führt das Unternehmen einen feinabgestimmten ModernBERT-Klassifikator ein, der unstrukturierte Anmeldedaten erkennen soll, bevor Commits in die Repository-Historie gelangen. Das gemeinsam mit Microsoft Applied Sciences entwickelte Modell analysiert potenzielle Zugangsdaten im Kontext des Quellcodes in unter zwei Millisekunden. Ziel ist es, die Anzahl der an der Push-Grenze verhinderten Secret-Leaks mehr als zu verdoppeln.

Starker Anstieg der Codeerstellung erhöht das Risiko exponierter Zugangsdaten

Laut Daten von GitHub ist mittlerweile bei einem von drei Pull Requests auf der Plattform ein KI-Agent beteiligt – ein Jahr zuvor lag dieser Anteil noch bei unter einem von zehn. Über einen Beobachtungszeitraum von neun Quartalen zwischen Q2 2024 und Q2 2026 stieg die Gesamtzahl der überprüften Pushes um das 2,84-Fache, während Pushes mit enthaltenen Anmeldedaten um das 2,59-Fache zunahmen. Im selben Zeitraum sanken die manuellen Übersteuerungen (Overrides) von Push-Schutz-Blockaden durch Entwickler stetig von 6,63 % auf 3,93 %. Dies deutet darauf hin, dass das Bewusstsein der Entwickler für Expositionsrisiken parallel zur automatisierten Softwareerstellung gewachsen ist.

Verzögerungen bei der Behebung unterstreichen die Notwendigkeit automatisierter Prävention

Obwohl GitHub im zweiten Quartal 2026 durchschnittlich 26 Treffer öffentlicher Zugangsdaten pro Sekunde verzeichnete, bleibt die manuelle Behebung ein zentraler Engpass. Die durchschnittliche Zeit bis zum manuellen Widerruf eines exponierten Secrets liegt bei etwa 40 Tagen, wobei ungefähr jede fünfte Exposition länger als 90 Tage bis zur Bearbeitung benötigt. Der herkömmliche Push-Schutz stoppt etwa 30 % der neu identifizierten Anmeldedaten vor dem Eintrag in die Repository-Historie. Somit werden 70 % erst entdeckt, nachdem die Zugangsdaten die Push-Grenze bereits überschritten haben.

Schnelles maschinelles Lernen visiert unstrukturierte Passwörter an

Um interne Datenbankpasswörter und unstrukturierte Secrets zu identifizieren, denen eindeutige Anbieter-Präfixe fehlen, bewertet das ModernBERT-Modell den umgebenden Code-Kontext, ohne eigenen Text oder Code zu generieren. Das Modell befindet sich derzeit in einer Private Preview und soll später in diesem Monat für Organisationen in den Tarifen GitHub Teams und Enterprise Cloud verfügbar werden, die GitHub Secret Protection nutzen, wo es KI-Credits verbraucht. Darüber hinaus integriert GitHub den Klassifikator über den neuen Befehl /security-review in der Copilot CLI und der Copilot App direkt in die Entwicklungsumgebung.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Secret protection must scale with software