GitHub 安全產品經理 Erin Havens 喺 10 月 7 日喺官方 blog 發文，披露咗 2024 年第二季至 2026 年第二季共九個完整季度嘅密鑰（secret）掃描數據，核心觀點係：開發者唔係變得更粗心，而是被代碼創作的加速「快過」（outpaced）；讓開發者寫更多代碼嘅工具，亦應該承擔更多保護代碼嘅工作。
佢指，而家每三個 pull request 已經有一個涉及 AI agent（AI 編程代理），一年前呢個數字唔足十分之一。如果呢個速度維持，未來兩年大部分 push 上 GitHub 嘅代碼可能由 agent 寫出，而且「可能永遠冇人類完整閲讀過」。
同批披露嘅數據包括：
- 2024 Q2 至 2026 Q2，受掃描嘅 push 數量增長 2.84 倍，攜帶憑據嘅 push 增長 2.59 倍；九個完整季度數據顯示，每 push 密鑰出現率冇可統計檢測嘅趨勢。
- 2026 年第二季有 5.74 億次 push，其中 0.47% 包含密鑰。
- 開發者跳過（override）push 階段防護嘅比例，同期由 6.63% 線性下降至 3.93%。
- 公開可見嘅代碼中，新密鑰大約每兩秒出現一次，過去三年每年約以倍數增長。
- 人工手動撤銷一個密鑰嘅平均時間約 40 日，約五份之一嘅撤銷處理超過 90 日。
Havens 解釋，若活動量加倍而每次洩露都需要同一嘅人工回應，工作量都會加倍；在代碼量增長而人手修復冇辦法同步嘅情況下，必須預防更多洩露，並減少剩餘案例所需嘅人工。佢稱，只係叫開發者更小心，本身冇辦法解決呢個問題。
GitHub 同 Microsoft Applied Sciences 合作開發咗一個微調（fine-tuned，針對特定任務再訓練嘅）分類器，將 push 防護擴充至非結構化密鑰；佢指該模型處理一組候選密鑰嘅時間少於兩毫秒，並稱此模型「可將能預防嘅密鑰數量倍增以上」。
GitHub 嘅 secret scanning partnership program（密鑰掃描夥伴計劃）涵蓋超過 150 個技術夥伴。2026 年第二季度，公開掃描平均每秒報告 26 個憑據匹配，包括重複觀察。
阿調搞兩下
「快過」呢個講法，聽落似係幫自己開脱。數據本身冇問題，但「人手趕唔上自動」呢個論述，恰恰係將安全責任由產品設計推去用户身上嘅經典話術。AI agent 快咗，但防護層係咪真係同步加速，定係只係多咗一個分類器？26 個 match 每秒，聽落似好多，但要留意，呢個係「報告」，唔係「修復」。由發現到真正廢舊，中間嗰個 40 日、90 日，先至係真正嘅風險窗口。
阿調｜深度調教
