در ابتدا در SSOJet منتشر شده است
GitHub یک ویژگی اسکن مخفی با هوش مصنوعی را در Copilot راه اندازی کرده است که ضمن کاهش مثبت کاذب ، تشخیص رمز عبور را به طور قابل توجهی افزایش می دهد. این ویژگی نوآورانه تجزیه و تحلیل زمینه را برای بهبود تشخیص رمزهای عبور درز شده اعمال می کند و بخشی از محافظت از مخفی GitHub است. روشهای سنتی Regex اغلب ساختارهای رمز عبور متنوع را از دست می دهند و زنگ های کاذب زیادی را ایجاد می کنند ، که می توانند تیم های توسعه را تحت الشعاع قرار دهند.
طبق یک پست وبلاگ GitHub ، سیستم جدید استفاده و موقعیت اسرار بالقوه را برای به حداقل رساندن هشدارهای بی ربط تجزیه و تحلیل می کند. سورین موگا ، مهندس ارشد نرم افزار ، خاطرنشان کرد: این نشانگر دوره جدیدی در امنیت پلتفرم است ، جایی که هوش مصنوعی نه تنها در توسعه کمک می کند بلکه از یکپارچگی کد نیز محافظت می کند.
یک چالش کلیدی که در طول پیش نمایش خصوصی مشخص شد ، مشکل مدل با انواع و ساختارهای پرونده غیر متعارف بود. GitHub در ابتدا “فرکانس چند عکس” را با GPT-5.5 توربو برای هدایت تشخیص استفاده کرد. برای غلبه بر چالش های اولیه ، GitHub چارچوب ارزیابی خود را با درج بازخورد شرکت کنندگان و متنوع سازی موارد آزمون تقویت کرد. آنها از GPT-4 برای تولید موارد آزمایش جدید بر اساس یادگیری از هشدارهای موجود در مخزن منبع باز ، بهبود دقت و یادآوری معیارها استفاده کردند.
تصویر با حسن نیت از GitHub
آسیب پذیری جدید در Github Copilot و مکان نما
آسیب پذیری قابل توجهی که بر Copilot و مکان نما GitHub تأثیر می گذارد ، شناسایی شده است و خطرات جدی زنجیره تأمین را برای توسعه دهندگان با استفاده از این ابزارهای برنامه نویسی AI در معرض نمایش قرار می دهد. این آسیب پذیری ، با نام “Backdoor Files Backdoor” ، به مهاجمان اجازه می دهد تا سیستم عامل های هوش مصنوعی را در تولید کد مخرب که به نظر می رسد قانونی است ، دستکاری کنند.
Ziv Karliner ، CTO و بنیانگذار Pilar Security ، تأکید کرد که این بردار حمله خود را سلاح می کند ، و این امر را برای توسعه دهندگان برای بررسی پیشنهادات تولید شده AI بسیار مهم می کند. این حمله به امتیازات خاصی احتیاج ندارد و می تواند از طریق پرونده های پیکربندی به خطر بیافتد ، به مخازن نفوذ کند. این مسئله یک خطر جدی را ایجاد می کند ، زیرا کد مخرب می تواند یکپارچه با کد مشروعیت و با عبور از چک های امنیتی مخلوط شود.
برای کاهش این خطر ، به توسعه دهندگان توصیه می شود قوانین موجود را حسابرسی کنند ، فرآیندهای اعتبار سنجی را برای پرونده های پیکربندی AI پیاده سازی کنند و از ابزارهای تشخیص برای شناسایی الگوهای مشکوک در پرونده های قانون استفاده کنند. علاوه بر این ، GitHub بر اهمیت بررسی کد تولید شده توسط AI ، به ویژه برای اضافات غیر منتظره تأکید کرده است.
تغییر نام هشدارهای اسکن مخفی
از 11 مارس 2025 ، هشدارها برای الگوهای غیر ارائه دهنده و رمزهای عبور و مرور کپی به جای “آزمایش” به عنوان “عمومی” طبقه بندی شده اند. این تغییر در مورد فیلترهای هشدار و صندوق ورودی ثانویه در نمای هشدار اعمال می شود. GitHub قصد دارد روند تشخیص را ساده تر کند و اطمینان حاصل کند که کاربران می توانند هشدارها را مطابق با سیاست های سازمان خود مدیریت کنند.
تشخیص این انواع مخفی برای مخازن با مجوز امنیتی پیشرفته GitHub در دسترس است و کاربران می توانند آن را از طریق تنظیمات مخزن یا تنظیمات امنیتی کد سازمانی فعال کنند.
برای کسب اطلاعات بیشتر در مورد تأمین مخازن ، به اسناد مربوط به اسکن مخفی مراجعه کنید.
اتوماسیون SOC محور AI
مراکز عملیات امنیتی (SOC) با حجم زیادی از هشدارها روبرو هستند که اغلب منجر به فرسودگی تحلیلگر و ناکارآمدی می شود. اسکن مخفی هوش مصنوعی GitHub ، تشخیص مخفی AI را برای ساده سازی عملیات SOC ادغام می کند. با تجزیه و تحلیل چگونگی و مکان از اعتبار ، سیستم در حالی که سر و صدا را به حداقل می رساند ، خطرات واقعی را در اولویت قرار می دهد.
ادغام قوانین هوش مصنوعی و قطعی آگاه از GitHub به GitHub اجازه می دهد تا گردش کار SOC ، هشدارهای مربوط به ریاست خودکار و ادغام با ابزارهای SIEM و SOAR را افزایش دهد. این فرایند بهبود یافته 94 ٪ مثبت کاذب را کاهش می دهد و به تحلیلگران این امکان را می دهد تا روی تهدیدات واقعی تمرکز کنند.
علاوه بر این ، اسکن مخفی Copilot Github برای پاسخ سریع به نشت اعتبار ، یک جنبه اساسی برای حفظ یکپارچگی امنیتی در گردش کار توسعه است.
پیدا کردن گذرواژه‌های درز شده با هوش مصنوعی
ویژگی اسکن مخفی Copilot Github از AI برای تشخیص رمزهای عبور عمومی در جعبه های کد استفاده می کند و به محدودیت های رویکردهای سنتی پرداخته است. این سیستم زمینه را تجزیه و تحلیل می کند ، مانند استفاده و محل اسرار بالقوه ، که توانایی آن در ارائه هشدارهای مربوطه را برای حفظ امنیت مخزن مهم می کند.
روند توسعه چالش هایی را با انواع پرونده های غیر متعارف نشان داد. اقدامات اولیه تلاش کردند و منجر به ارزیابی مجدد این رویکرد شدند که در نهایت شامل یک چارچوب ارزیابی آفلاین قوی بود. این چارچوب امکان مجموعه متنوع تری از موارد آزمایش را فراهم می کند و منجر به بهبود دقت تشخیص می شود.
GitHub با پالایش روش شناسی آزمایش و فن آوری های اعمال اهرم مانند GPT-4 ، دقت خود را به طور قابل توجهی افزایش داده و معیارهای خود را به یاد می آورد و از این طریق قابلیت های تشخیص اسکن مخفی Copilot را افزایش می دهد.
GitHub همچنان به همکاری ، مدیریت منابع و بازخورد کاربر برای اصلاح قابلیت های اسکن مخفی خود ادامه می دهد و اطمینان حاصل می کند که این یک مؤلفه مهم امنیت کاربرد است.
برای شرکت هایی که به دنبال تقویت پروتکل های امنیتی خود هستند ، اجرای SSO ایمن و مدیریت کاربر بسیار مهم است. SSOJET یک پلت فرم API-First را ارائه می دهد که شامل همگام سازی دایرکتوری ، SAML ، OIDC و احراز هویت Magic Link است که متناسب با نیازهای شما است. خدمات ما را در SSOJet کاوش کنید یا برای اطلاعات بیشتر با ما تماس بگیرید.
