GitHub alerta: Proteção de segredos precisa de escalar face ao aumento de código por IA

O GitHub revela que um em cada três pull requests já envolve agentes de IA. A plataforma defende que a segurança deve acompanhar este ritmo acelerado.

Aceleração do desenvolvimento e o desafio da segurança

O GitHub partilhou dados que ilustram uma mudança profunda na forma como o software é criado: atualmente, um em cada três pull requests na plataforma envolve um agente de inteligência artificial. Este número representa um crescimento significativo face ao ano passado, onde a proporção era inferior a um em cada dez. Se esta tendência se mantiver, o GitHub estima que, nos próximos dois anos, a maioria do código submetido poderá ser gerado por agentes, levantando questões sobre a responsabilidade na proteção destas implementações.

Ao contrário do que se possa assumir, os dados recolhidos pelo GitHub ao longo de nove trimestres não indicam que os programadores se tenham tornado mais descuidados. Pelo contrário, a taxa de push-path blocks ignorados pelos utilizadores caiu de 6,63% para 3,93% entre o segundo trimestre de 2024 e o segundo trimestre de 2026, sugerindo uma maior consciência sobre os riscos de exposição acidental de credenciais.

O novo classificador de segredos

Para responder à velocidade de criação de código, o GitHub introduziu um novo classificador de segredos, desenvolvido em colaboração com a Microsoft Applied Sciences. Este modelo foi desenhado para identificar segredos não estruturados, avaliando o conjunto de dados em menos de dois milissegundos. O objetivo é duplicar a capacidade de prevenção de fugas antes que o código chegue ao histórico do repositório.

Atualmente, um novo segredo aparece em código público aproximadamente a cada dois segundos. A estratégia da plataforma passa por:

• Prevenção na origem: Utilizar a push protection para bloquear credenciais reconhecíveis antes da exposição.
• Parcerias ativas: Colaboração com mais de 150 parceiros técnicos para revogação imediata de tokens expostos (como chaves de API da OpenAI, Google Cloud ou Slack), reduzindo a dependência da intervenção manual do programador.

A necessidade de automatização é clara: o tempo médio para revogar manualmente um segredo ronda os 40 dias, sendo que cerca de 20% dos casos ultrapassam os 90 dias. Num cenário onde o código é gerado a velocidades sem precedentes, a segurança tem de ser integrada no ciclo de vida do desenvolvimento de forma autónoma e escalável.

Fontes

• https://github.blog/ai-and-ml/github-copilot/secret-protection-must-scale-with-software/