La protection des poussées de GitHub bloque en préversion des secrets sans format prédéfini, désactivée par défaut

GitHub a annoncé le 28 octobre 2026 que la protection des poussées peut désormais bloquer des secrets sans format prédéfini, en préversion publique. Un classifieur conçu à cet effet, développé avec Microsoft Applied Sciences, examine comment un secret possible est utilisé dans le code environnant. Jusqu’ici, la protection des poussées s’appuyait sur des motifs prédéfinis pour reconnaître chaque type de secret. La nouvelle vérification tourne en parallèle de ces détecteurs, est désactivée par défaut et consomme des crédits d’IA facturés.

L’ancienne approche a une lacune nette. Un détecteur de motifs reconnaît un jeton parce qu’il a une forme connue, comme un préfixe fixe d’un fournisseur de service. Un mot de passe, une clé interne ou le jeton d’un petit fournisseur peut ne pas avoir cette forme. Le nouveau classifieur lit à la place le contexte : comment la chaîne est affectée, transmise ou utilisée à proximité dans le code. GitHub dit que cela lui permet de bloquer des secrets sans format connu et reconnaissable. La page ne décrit pas en détail le modèle, ses données d’entraînement ni son comportement en cas de faux positifs.

Quand le classifieur tourne, il couvre les nouvelles poussées, les validations faites dans l’interface web de GitHub et les envois de fichiers. S’il détecte un secret, GitHub rejette la modification et indique où se trouve le secret. Pour lever un blocage, le développeur retire le secret de chaque commit de la poussée et réessaie. Les procédures de contournement et de contournement délégué existantes s’appliquent toujours. GitHub énonce aussi une règle pour l’automatisation : les agents doivent obtenir une autorisation avant de contourner un blocage ou de l’éviter. Cette ligne compte à mesure que des agents de code poussent du code, car elle rend explicite l’étape d’approbation humaine.

GitHub présente ses premiers résultats avec prudence. Selon GitHub, le classifieur a plus que doublé le nombre de poussées où la protection a attrapé un secret. Cela compte des poussées, pas des secrets distincts ; la page ne précise ni les conditions de comparaison ni la période d’observation. GitHub indique aussi un taux de précision rapporté par les utilisateurs qui rivalise avec les détecteurs définis par les émetteurs chez ses partenaires d’analyse des secrets. La page ne donne ni taille d’échantillon, ni nombres absolus, ni taux de faux positifs : ces affirmations sont celles de GitHub et ne se vérifient pas à partir de la page.

L’activation suppose trois conditions. Un dépôt doit avoir déjà activé les secrets détectés par IA et la protection des poussées. La fonction est ouverte aux organisations qui ont GitHub Secret Protection ou GitHub Advanced Security sur github.com. Les administrateurs activent ensuite le blocage des secrets détectés par IA. Un administrateur de dépôt le fait dans les paramètres du dépôt, sous Advanced Security, Secret Protection, secrets détectés par IA. Les administrateurs d’organisation et d’entreprise créent ou modifient une configuration de sécurité personnalisée avec trois réglages activés : secrets détectés par IA, protection des poussées et blocage des secrets détectés par IA. Les champs de l’API REST sont secret_scanning_generic_secrets, secret_scanning_push_protection et secret_scanning_generic_secrets_push_protection. La configuration est ensuite appliquée aux dépôts à protéger.

Le coût mérite l’attention. La détection par IA dans la protection des poussées consomme des crédits d’IA, et la facturation commence quand une organisation rejoint la préversion et active la fonction. En revanche, les alertes de secrets détectés par IA issues de l’analyse après la poussée restent incluses dans Secret Protection et Advanced Security sans frais supplémentaires. La préversion est limitée à github.com ; les équipes sur d’autres déploiements ne doivent pas encore s’y attendre. Un essai raisonnable porte sur quelques dépôts, avec un relevé des poussées bloquées et des fausses alertes, avant d’assumer le coût et la friction d’un déploiement plus large.