Secret Protection Must Scale — как GitHub защищает секреты в эпоху AI-агентов
Саммари
GitHub публикует девять кварталов данных о секретах в публичном коде и представляет новый классификатор на ModernBERT, который оценивает кандидаты в секреты менее чем за 2 мс. Каждый третий pull request на GitHub уже включает AI-агента, но утечки секретов растут пропорционально объёму кода, а не халатности разработчиков. Статья разбирает «задачу четырёх тел» для защиты секретов — точность, задержка, пропускная способность и стоимость — и показывает, как fine-tuned-классификатор может более чем удвоить число предотвращённых утечек.
GitHub доказывает, что проблема не в «неосторожности разработчиков, которых испортил AI», а в объёме: больше кода → больше секретов при той же доле ошибок. Аргумент «AI делает код менее безопасным» не подтверждается данными — override rate упал, а не вырос.
Важный урок для Revit-инструментов с AI-агентами: если Revit MCP Server или плагин генерирует код с API-ключами, токенами доступа к Autodesk Platform Services (APS) или учётными данными к облачным CAD-сервисам, механизм защиты должен быть на уровне платформы (push protection), а не на уровне промпта.
Классификатор на ModernBERT вместо LLM-пайплайна — показательный выбор: на критическом пути побеждают специализированные модели малого размера, а не универсальные LLM. В контексте Revit-агентов это значит, что верификация действий агента (Check, EffectMatch, Safety Checker) должна быть лёгкой и быстрой, а не полагаться на Claude/GPT в цикле.
Метрика «40 дней среднего времени отзыва» — тревожный сигнал для AI-агентов с доступом к Git. Если агент может запушить код с секретами, человеческий контроль на commit — уже слишком поздно; защита должна работать на push, до записи в репозиторий.