GitHub et Microsoft réduisent les faux positifs de 75,76 % dans le scan des secrets

fr.wedoany.com Rapport : GitHub a collaboré avec l’équipe Agents Offense de Microsoft Security & AI (Microsoft Security & AI’s Agents Offense team) pour appliquer la méthode de validation Agentic Secret Finder, introduisant davantage de raisonnement contextuel dans la validation du scan des secrets de GitHub. Cette méthode combine le pipeline de détection à grande échelle de GitHub avec une validation contextuelle basée sur les LLM, réduisant finalement le taux de faux positifs de 75,76 %, dépassant ainsi l’objectif initial de 65 %. Lors de l’évaluation, l’équipe a testé la méthode sur 1 500 alertes de faux positifs confirmées par les clients. À l’échelle de l’immense base de code de GitHub, le problème des faux positifs dans les alertes de scan des secrets a longtemps perturbé les développeurs, un excès d’alertes de faible valeur affaiblissant la crédibilité du système.

La détection traditionnelle basée sur la correspondance de motifs peut identifier des chaînes ressemblant à des secrets, mais a du mal à distinguer une exposition réelle d’une valeur simplement sensible. Pour relever ce défi, l’équipe n’a pas simplement augmenté la quantité de données analysées, mais s’est concentrée sur l’extraction d’un petit ensemble d’informations à fort signal. Par exemple, le système vérifie si une valeur assignée à une variable est ensuite transmise à une requête API, un en-tête d’authentification, un client de base de données ou un appel SDK cloud. Les recherches ont montré que la plupart des faux positifs peuvent être résolus uniquement avec le contexte ciblé au niveau du fichier, tandis que la transmission d’un fichier entier ou d’un dépôt introduit trop de bruit et augmente les coûts et la latence. Cette stratégie de « meilleur contexte » plutôt que de « plus de contexte » permet au système de distinguer plus efficacement les vrais secrets des données de test ou des espaces réservés.

Cette méthode s’appuie directement sur le système existant de scan des secrets de GitHub, renforçant la capacité de perception contextuelle de l’étape de validation sans modifier la logique de détection en amont ni réduire la couverture. Le scan des secrets de GitHub combine déjà une détection basée sur des motifs et une détection universelle des secrets pilotée par l’IA, couvrant des milliards de poussées de dizaines de millions de développeurs dans des millions de dépôts. Cette collaboration vise à élever la précision des secrets détectés par l’IA au même niveau élevé que la détection par motifs des fournisseurs.

Cette amélioration se traduit directement dans l’expérience des développeurs. La réduction des alertes non pertinentes permet aux développeurs de prioriser et de corriger plus rapidement les vrais problèmes. Actuellement, GitHub continue d’évaluer cette méthode sur des ensembles de données plus vastes et du trafic en temps réel, tout en optimisant davantage le processus d’extraction et de validation du contexte.