09/10/2026 · VietTechies · Biên tập
GitHub vừa giới thiệu một bộ phân loại thông tin xác thực ứng dụng AI, được phát triển hợp tác cùng bộ phận Microsoft Applied Sciences nhằm nâng cao tính năng bảo vệ trước khi tải mã nguồn (push protection). Xây dựng trên mô hình ModernBERT, công cụ này có thể đánh giá các chuỗi ký tự nghi vấn trong chưa đầy 2 miligiây, giúp lập trình viên ngăn chặn sớm những thông tin xác thực không có định dạng chuẩn — chẳng hạn như mật khẩu cơ sở dữ liệu — trước khi chúng đi vào lịch sử lưu trữ của kho mã nguồn.
Phân tích ngữ cảnh cho các thông tin xác thực không theo mẫu
Các cơ chế bảo vệ thông thường khi push code chủ yếu dựa vào các mẫu định dạng có sẵn để phát hiện khóa API hay token trước khi thao tác commit hoàn tất. Bộ phân loại ModernBERT mở rộng khả năng này bằng cách phân tích ngữ cảnh của các đoạn mã xung quanh, từ đó cảnh báo những dữ liệu nhạy cảm không có cú pháp rõ ràng. GitHub ước tính mô hình phân tích ngữ cảnh mới có thể tăng gấp hơn hai lần số lượng thông tin bảo mật được ngăn chặn trước khi lọt vào kho mã nguồn.
Quy mô rò rỉ dữ liệu và sự chậm trễ trong xử lý
Cải tiến này xuất hiện trong bối cảnh lượng mã nguồn được tải lên ngày càng nhiều. Theo thống kê của GitHub, trung bình cứ khoảng hai giây lại có một thông tin bảo mật mới xuất hiện trên các đoạn mã công khai. Từ quý 2 năm 2024 đến quý 2 năm 2026, số lượt push mã nguồn công khai được GitHub kiểm tra đã tăng 2,84 lần, trong khi số lượt push chứa thông tin xác thực bị rò rỉ tăng 2,59 lần, giữ tỷ lệ rò rỉ ở mức ổn định suốt chín quý liên tiếp.
Hiện tại, tính năng push protection của GitHub mới chỉ ngăn được khoảng 30% thông tin nhạy cảm phát hiện trước khi commit, 70% còn lại chỉ được phát hiện sau khi đã đẩy mã nguồn lên. Việc thu hồi thủ công các thông tin xác thực bị rò rỉ mất trung bình khoảng 40 ngày, trong đó có khoảng 20% trường hợp phải tốn hơn 90 ngày để khắc phục, dù một số nhà cung cấp dịch vụ đám mây đã hỗ trợ tự động thu hồi khi nhận được cảnh báo.
Kế hoạch triển khai và tích hợp vào Copilot
Bộ phân loại hiện đang trong giai đoạn thử nghiệm nội bộ (private preview) và dự kiến sẽ ra mắt rộng rãi hơn vào cuối tháng 10 năm 2026 cho các tổ chức sử dụng gói GitHub Team hoặc GitHub Enterprise Cloud có đăng ký dịch vụ GitHub Secret Protection. Những tổ chức đang dùng tính năng phát hiện dữ liệu nhạy cảm bằng AI sẽ tự động nâng cấp lên mô hình mới, trong khi các cảnh báo quét sau khi push vẫn nằm trong các gói quét dữ liệu hiện có mà không tốn thêm chi phí.
Đối với các mô hình triển khai tự quản lý (self-hosted), công cụ sẽ phát hành dưới dạng xem trước công khai (public preview) cùng phiên bản GitHub Enterprise Server 3.23, mang khả năng cảnh báo bằng AI đến cả các môi trường cách ly mạng (air-gapped). Ngoài ra, GitHub cũng tích hợp bộ phân loại vào lệnh /security-review trên Copilot CLI và ứng dụng Copilot, cho phép người dùng Copilot cá nhân thực hiện kiểm tra trước khi push mã nguồn mà không cần gói đăng ký bảo vệ dữ liệu nhạy cảm toàn doanh nghiệp.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.