GitHub、秘密情報の検出時間を86％削減

GitHubは2026年10月13日、リポジトリ内の認証情報などを探す秘密情報スキャンに、文脈を読む小型分類モデルを導入したと発表しました。従来の大規模言語モデル方式に比べ、コード送信後のスキャン時間の中央値を86％、提供費用を98％超削減しました。速度向上により、汎用的な秘密情報の検出を送信後だけでなく送信前の保護にも広げ、開発者へ早く結果を返します。

汎用的な秘密情報は、実際の認証情報と文書内の例示、テスト用の値、チェックサムなどが似ており、文字列の形だけでは判別しにくい問題があります。新方式はまず正規表現で候補を広く拾い、微調整したModernBERTが値、ファイルの場所、変数名、周辺コードを読んで本物らしさを判定します。確度の高い候補だけを警告し、無害な類似文字列は開発者へ届く前に除外します。

学習にはGitHub上の製品由来データ、人が確認した正規表現の候補、検出が難しい事例を補う合成データを使いました。リポジトリや候補値を共有する近似例が学習用と評価用にまたがらないように分割し、本番に近い通信で判定基準を検証しました。モデルはONNX形式へ変換し、8ビット量子化で推論を高速化しています。

GitHubの同一公開データを使った評価では、従来方式より検出精度が13％、再現率が19％向上しました。顧客を対象にした比較実験でも、リポジトリ所有者ごとに重み付けした警告の受容率が11.5％向上し、誤検知の減少が利用者の判断にも表れました。

この仕組みは正規表現を置き換えず、候補を漏れなく探す処理と文脈で絞る機械学習を役割分担させます。狭く測定可能な課題では、汎用の大規模言語モデルより小型の専用モデルが、精度、速度、費用を両立できることを示す事例です。GitHubは今後、本番から誤検知と見逃しを学ぶ循環を整え、検出と抽出を一段階で行うモデルも検討します。