GitHub、AIで機密情報流出の防止数2倍超へ

GitHubは2026年10月7日、AIによるコード生成が急増する中、非定型の認証情報を文脈から見つけるModernBERT分類器をpush protectionへ導入すると発表しました。同社はMicrosoft Applied Sciencesと開発したモデルで候補群を2ミリ秒未満で判定し、リポジトリ履歴に入る前に防げる秘密情報を2倍超に増やせるとしています。

GitHubでは現在、AIエージェントが関わるプルリクエストが3件に1件に達し、1年前の10件に1件未満から急増しました。公開コードには約2秒に1件の割合で新たな秘密情報が現れ、その件数は過去3年間、年ごとに倍増しています。

一方、2024年第2四半期から2026年第2四半期まで、秘密情報を含むプッシュの割合に統計的に確認できる上昇傾向はありませんでした。開発者がブロックを解除した割合も6.63％から3.93％へ低下しており、GitHubは開発者の不注意よりコード量の増加を課題とみています。

現行のpush protectionは、新たに検出される秘密情報の約30％を履歴へ入る前に止めています。残る流出では手動失効に平均約40日かかり、約5件に1件は90日を超えるため、検出後の人手による対応だけでは開発速度に追いつけません。

新分類器は接頭辞など決まった形式を持たない社内データベースのパスワードも、周辺コードの文脈から判定します。現在はプライベートプレビューで、10月後半にGitHub Secret Protectionを利用するEnterprise CloudとGitHub Teamsの組織へ提供し、利用にはAIクレジットを消費する予定です。

企業にとっての要点は、コード生成量に応じてセキュリティ要員を増やすのではなく、流出前の自動防止を拡大する設計です。AIエージェントへ任せる範囲を広げる際は、生成速度と同じ規模で認証情報を検査できる仕組みがあるかを確認する必要があります。