GitHub、漏洩シークレット検知に専用モデルを投入

何が発表されたか

• 2026年10月7日、GitHubがシークレット検知専用にファインチューニングしたモデルを公開。値の周辺コードを読んで資格情報らしさを判定し、トークン形式を持たないパスワードも検出できる。コードや文章の生成は行わない。
• AI検知パスワードアラート：既存顧客は自動でアップグレードされ、10月7日からスキャンが新モデルに切り替わる。GHSP／GHASに追加費用なしで含まれる。
• プッシュ保護でのAIシークレット検知：push時に非定型の資格情報を検査し、リポジトリ履歴に入る前に除去できる。管理者による有効化が必要で、GitHub Enterprise Cloud または GitHub Team ＋ 有償GHSP／GHASが条件。
• Copilot /security-review でのAIシークレット検査：Copilot CLI とCopilotアプリに順次。既定は無効で、/security-review を実行しただけでは有効にならず明示的なオプトインが必要。
• GitHub Enterprise Server では3.23でAI検知アラートのみパブリックプレビュー。

開発者への影響

地味だが受託現場に効くのは**「トークン形式を持たないパスワードを検出できる」**という点。define('DB_PASSWORD', '...') のようなWordPressの wp-config.php、Laravelの .env、デプロイスクリプト内のベタ書きSSHパスワードは、従来のパターンマッチ型スキャンをすり抜けていた。クライアントから引き継いだリポジトリを整理するとき、これまで気づけなかった分がアラートとして出てくる可能性がある。

プッシュ保護の側は費用構造に注意。オプトイン後の利用はAIクレジットを消費し、課金はリポジトリ所有組織に対して発生する（プッシュがブロックされなかった場合も含む）。/security-review 側はアクティブなCopilotプランのアカウントに課金される。クライアント組織のリポジトリで作業する受託者は、自分の操作が相手の組織のクレジットを消費する構図になるため、有効化の判断は勝手に行わず合意を取りたい。

予算上限を切るなら、Billing and licensing > Budgets and alerts で SKU-level budget → Advanced Security → Secret Protection AI Credits を指定する。アラートだけでは停止しないので、「Stop usage when budget limit is reached」の有効化まで必要。

利用条件

個人向けCopilotプラン（Pro／Pro+／Max／Free／Student）は /security-review の検査のみGHSP／GHASライセンス不要で利用可。プッシュ保護には有償GHSP／GHASが必要。すでにプライベートプレビューでプッシュ保護を使っている場合、課金開始後も使い続けるとクレジットを消費するため、不要なら事前に無効化しておく。