Enver KOÇAK
GitHub, 7 Ekim 2026’da sızan parola tespiti için özel olarak geliştirilmiş, ince ayarlı bir yapay zekâ modelini devreye aldı. Model, kodun çevresini okuyarak olası kimlik bilgilerini buluyor. Tanınabilir bir token biçimi olmayan parolalar da bunlara dahil. GitHub’ın vurguladığı bir ayrıntı var: Bu model kod ya da metin üretmiyor, yalnızca sınıflandırma yapıyor.
Ne Değişti?
Klasik gizli bilgi taramaları, belirli biçimleri olan anahtarları yakalamakta iyidir. Örneğin bir bulut sağlayıcısının erişim anahtarı tanıdık bir öneke sahiptir. Ancak bir yapılandırma dosyasına ya da koda gömülmüş sıradan bir parolanın böyle bir kalıbı yoktur. Yeni model bu boşluğu kapatmayı hedefliyor.
Yapay zekâ ile tespit edilen parola uyarılarını kullanan müşteriler otomatik olarak yeni modele geçirildi. Mevcut taramalar da duyuruyla birlikte yeni modeli kullanmaya başladı. Bu uyarılar, GitHub Secret Protection ve GitHub Advanced Security paketlerine ek ücret olmadan dahil olmaya devam ediyor. Model, GitHub Enterprise Server 3.23’e de genel önizleme olarak geliyor.
Duyuruda modelin doğruluk oranına ya da hata payına dair bir sayı paylaşılmamış.
Push Koruması ve Güvenlik İncelemesi
İki yeni kontrol daha var. Birincisi yapay zekâ destekli push koruması. Bu kontrol, yapılandırılmamış kimlik bilgilerini daha gönderim anında yakalıyor, yani gizli bilgi depo geçmişine girmeden önce durduruluyor. Bu özellik özel önizlemede ve GitHub Enterprise Cloud ya da GitHub Team ile birlikte Secret Protection veya Advanced Security lisansı gerektiriyor. Bir yöneticinin etkinleştirmesi şart.
İkincisi Copilot CLI ve Copilot uygulamasındaki /security-review komutu. Geliştirici, commit veya push yapmadan önce bu komutu çalıştırarak önceliklendirilmiş bulgular ve düzeltme önerileri alabiliyor. Gizli bilgi sınıflandırıcısının kontrolleri bu komuta yakında eklenecek ve bunun için Secret Protection lisansı gerekmeyecek.
Her iki yeni kontrol de varsayılan olarak kapalı ve AI Credits tüketiyor. Faturalandırma önümüzdeki haftalarda başlayacak. Push korumasında bir kontrolün, gönderimi engellemese bile kredi harcayabileceği de not edilmiş.
Kimi İlgilendiriyor?
Bu gelişme en çok, depolarında yanlışlıkla parola kalma riski taşıyan yazılım ekiplerini ve güvenlik yöneticilerini ilgilendiriyor. Sızan bir parola, bir veri ihlalinin en kısa yollarından biri olabiliyor. Bu nedenle gönderim anında yakalama ciddi bir kazanç.
Maliyet yönetimi de önemli. Kurum ve kuruluş yöneticileri yeni özellikleri politikayla kapatabiliyor ve AI Credits için bütçe belirleyebiliyor. GitHub, yalnızca bütçe uyarısının kullanımı durdurmadığını, kesin bir sınır için bütçe dolduğunda kullanımı durduran ayarın açılması gerektiğini hatırlatıyor. Özel önizlemede push korumasını kullananlar, faturalandırma başlamadan önce isterlerse özelliği kapatmalı.
Bireysel Copilot planlarındaki geliştiriciler de güvenlik incelemesi kontrollerinden yararlanabiliyor, ancak kredi tüketimi bu planlarda da geçerli.
GitHub’ın duyurusunda dikkat çeken bir not daha var: Yapay zekâ ajanlarının, açık yetki olmadan kredi tüketen özellikleri açmaması ya da politika ve bütçeleri değiştirmemesi gerektiği belirtiliyor.
Türkiye’den Kullanıcılar İçin
Duyuruda Türkiye’ye özel bir bilgi yer almıyor. Türk yazılım ekipleri için pratik öneri şu: Önce mevcut yapay zekâ uyarılarını gözden geçirmek, ardından push korumasını küçük bir depoda deneyip kredi tüketimini ölçmek. Sızan kimlik bilgilerinin kişisel verilere erişim sağlayabileceği durumlarda, bu tür bir önlem KVKK kapsamındaki veri güvenliği yükümlülükleri açısından da destekleyici olur.
Kaynaklar
Bu yazı, yukarıdaki kaynaklardan yapay zekâ yardımıyla Türkçe olarak derlenmiş bir özettir. Ayrıntılar ve resmi bilgi için kaynaklara başvurun.
