シークレットスキャンの信頼性向上：大規模な誤検知の削減

シークレットスキャンは、開発者と組織を保護する上で重要な役割を果たしています。これにより、露出した認証情報を早期に検出し、小さなミスが実際のインシデントに発展するのを防ぎます。 GitHub のような大規模環境では、わずかな非効率性でも実質的な摩擦を生み出します。偽陽性が多すぎると、アラートへの信頼性が低下します。 アラートがノイズのように感じられると、開発者は実際の問題の修正に費やす時間よりも、優先順位付けや選別（トライアージ）に多くの時間を割くことになります。時間が経つにつれ、これは修復プロセスを遅らせ、システムに対する信頼性を損ないます。 この課題に対処するため、GitHub は Microsoft Security & AI の Agents Offense チームと協力し、GitHub のシークレットスキャン検証に文脈に基づく推論（コンテキスト・リーゾニング）を導入しました。この協働では、Agentic Secret Finder から採用された検証アプローチが適用されました。これは、単なる秘密らしきパターンとの一致だけでなく、潜在的なシークレットを文脈として理解するために開発された、より広範な検出および検証システムです。これにより、GitHub は、シークレットスキャンで期待されるカバレッジを維持しつつ、低価値なアラートを削減する方法を探ることができました。 現在の GitHub におけるシークレットスキャン GitHub のシークレットスキャンは、パターンベースの検出と AI ベースの検出を組み合わせて、潜在的なシークレットを特定します。パターンベースの検出では、トークンや API キーのためのパートナーパターンなど、既知の秘密フォーマットを検出します。AI 駆動の汎用シークレット検出は、既知のプロバイダーパターンに一致しないパスワードなどの非構造化シークレットへのカバレッジを拡大します。 GitHub はすでに、大規模なプロバイダーパターンに基づくシークレット検出において業界をリードする精度を有しており、数百万のリポジトリにまたがる数億回のプッシュを処理し、数千万人の開発者を保護しています。 GitHub が AI 駆動型のシークレット検出へと拡大するにつれ、次の課題は、AI によって検出されたシークレットの精度を、プロバイダーパターンによる検出と同じ高い基準に近づけることでした。この協働では、GitHub の大規模な検出パイプラインと LLM（大規模言語モデル）に基づく文脈検証を組み合わせて、アラートの品質と開発者の信頼性を向上させることに焦点を当てました。 私たちのアプローチ：シークレットスキャンアラートを信頼できるものにする どのアラートに即座に対応が必要かを素早く判断できる場合に、シークレットスキャンは最も有用になります。 GitHub にはすでにノイズを削減するためのセーフガードが用意されていますが、一部の「シークレットらしき値」については、それが実際の露出を表すかどうかを判断するために、より多くの文脈情報が必要です。これらのアラートを信頼しやすくするため、検証ステップに推論プロセスを追加しました。 検出された値がコード内でどのように出現しているかを分析することで、システムは実際の露出と、単に見た目が機密性があるように見える値とをより明確に区別できるようになります。これにより、価値の低いアラートの調査にかける時間を減らし、重要な問題の修正に集中して取り組むことができます。 ![image](https://github.blog/wp-content/uploads/2026/06/blog-post-1.png?resize=1024%2C576) パイプラインにおける位置づけ このアプローチは既存のシステムを直接拡張したものです。検出機能は引き続き候補を生成し、検証ステップでそれらを評価します。より文脈を意識する能力により、本物のシークレットとノイズを見分ける精度が向上します。 その結果、上位層の検出ロジックを変更したりカバレッジを削減したりすることなく、精度が高まります。 仕組みについて 検証における重要な課題は、どのような文脈を提供するかを決めることです。 コードの小さなスニペットだけでは、何かが本物のシークレットかどうかを判断するには不十分な場合がほとんどです。一方で、ファイル全体やリポジトリ全体を渡すと、ノイズが多すぎてコストとレイテンシが増大してしまいます。 より多くの文脈を提供するのではなく、より良い文脈を提供します。 大量のコードを送信する代わりに、値がどのように使用されているかを説明するのに役立つ高信号量の情報を小さなセットとして抽出します。具体的には、値が変数に代入され、その後 API リクエスト、認証ヘッダー、データベースクライアント、またはクラウド SDK 呼び出しへと渡されるケースを探します。パターンマッチングでは値がシークレットのように見えるかどうかは判断できますが、実際にその値がシークレットとして使用されているかどうかまでは判断できません。周囲の使用文脈により、モデルはファイル全体やリポジトリ全体をレビューすることなく、ランダムな UUID や不透明な文字列などの誤報と、実際の露出を見分けることができます。 ![image](https://github.blog/wp-content/uploads/2026/06/blog-post-2.png?resize=1024%2C576) より多くのデータではなく、焦点を絞った文脈 精度を高めるにはコードベースのより多くの部分を分析する必要があると考えるのは自然ですが、実際は逆です。 誤検知の多くは、焦点を絞ったファイルレベルの文脈で解決できます。重要なのはモデルがどの程度のコードを見るかではなく、適切なシグナルを持っているかどうかです。 多くの場合、値が実際の秘密鍵であるかどうかは、単一のファイル内での使用状況を確認することで判断できます。プレースホルダーやテストデータ、未使用の設定に似ている値は、より深い分析なしでフィルタリングできることがよくあります。 これにより、システムは効果的かつ実用的なまま維持されます：高い精度、低いレイテンシ、そして大規模なコードベース全体でのスケーラビリティです。 結果：実践における誤検知の削減 このアプローチを、数百件の顧客が確認した誤検知アラートに対して評価しました。 目標は 65% の削減でした。その結果、75.76% を達成し、強力な検出性能を維持しながらも目標を上回りました。 実践的には、これはノイズの大幅な減少と、アクションが必要なアラートの割合の高まりを意味します。 ![image](https://github.blog/wp-content/uploads/2026/06/blog-post-3.png?resize=1024%2C576) 数百件の顧客が確認した誤検知アラートに基づく誤検知削減結果。 この改善は、開発者体験に直接的に現れます。無関係なアラートが減ることで、表示される情報の信頼性が向上します。ノイズの選別にかける時間が減り、実際の課題を優先してより迅速に修正できるようになります。 今後の展望 私たちは、このアプローチをより大規模なデータセットとライブトラフィック上で評価し続けると同時に、コンテキストの抽出方法および検証における活用方法を改善しています。 スケーラブルな環境における偽陽性の削減は、一貫して求められるニーズです。本取り組みでは、最も重要な箇所でシグナルの品質を向上させることに焦点を当て、アラートを信頼しやすく、かつ即座に対応可能にすることを目指しています。 目標はシンプルです：ノイズを減らし、明確なシグナルを提供し、実際のリスクに対して迅速な対応を行うことです。 まずは今日、組織向けのリスク評価を実行するか、または秘密検出（secret scanning）の詳細についてさらに学ぶことをお勧めします。 本記事「Making secret scanning more trustworthy: Reducing false positives at scale」は、元々 The GitHub Blog で公開されたものです。

シークレットスキャンの信頼性向上：大規模な誤検知の削減

背景や根拠まで確認しますか？

調べる

選ぶ

サイト