Vitambulisho Milioni 39 Vilivyovuja kwa Mwaka Mmoja
Ripoti ya Octoverse 2024 ya GitHub iligundua siri milioni 39 zilizovuja kwenye GitHub mnamo 2024. Hiyo ni ongezeko la asilimia 25 kwa mwaka kutoka 2023. Siri hizo zinajumuisha funguo za API, nyuzi za hifadhidata, tokeni za uthibitisho, na vitambulisho vya wingu.
Sababu inajulikana. Wasanidi programu wanachangia msimbo wenye siri ndani. Siri zinatoka kwenye vikao vya utatuzi. Au zinawekwa kwa ugumu badala ya kuhifadhiwa katika vigeuzi vya mazingira. Kwa uvujaji milioni 39, hii si nadra. Ni kawaida.
Zana za AI Zinaongeza Njia ya Pili ya Uvujaji
Utafiti wa GitGuardian wa 2025 uligundua kwamba asilimia 67 ya wasanidi programu wamewahi kwa bahati mbaya kufichua siri katika msimbo. Tabia sawa zinazosababisha uvujaji wa GitHub pia husababisha uvujaji wa zana za AI.
Msanidi programu anabandika msimbo kwenye Claude, ChatGPT, au msaidizi mwingine wa AI kwa msaada. Msimbo huo mara nyingi una vitambulisho hai ndani yake. Modeli ya AI inapokea siri. Inaweza kuihifadhi katika historia ya mazungumzo. Inatumia kwa seva za mtoa huduma. Msanidi programu anapoteza udhibiti - bila onyo.
Mifano mitatu:
Utatuzi wa hifadhidata. Msanidi programu anabandika mkondo wa matatizo. Mkondo huo unajumuisha nyuzi ya muunganisho. AI inasoma nenosiri pia.
Ukaguzi wa mfumo. Msanidi programu anashiriki hati ya mfumo wa data. Hati hiyo ina funguo ya ufikiaji ya AWS na funguo ya siri. AI inapokea zote mbili.
Ukaguzi wa ujumuishaji wa API. Msanidi programu anaomba maoni juu ya ujumuishaji. Msimbo unajumuisha funguo ya API ya mshirika hai. Funguo inaondoka kwenye mtandao wa msanidi programu.
Katika kila kesi, lengo ni msaada halali. Uvujaji wa vitambulisho ni athari ya pembeni ya kumpa AI muundo wa kutosha. Hii ni mfumo sawa na uvujaji wa GitHub - si wa makusudi, ni wa kawaida tu.
Mifumo ya CI/CD Inakabiliwa na Hatari Sawa
Uvujaji wa siri za mfumo wa CI/CD uliongezeka kwa asilimia 34 mnamo 2024. Hati za ujenzi, usanidi wa usambazaji, na faili za miundombinu-kama-msimbo zote hupita kwenye ukaguzi wa AI sasa. Faili hizi mara nyingi zina vitambulisho vya wingu na tokeni za akaunti za huduma.
Zana za AI zinapofunika zaidi ya mzunguko wa maendeleo - ukaguzi, hati, utatuzi, uboreshaji - uso wa wazi hukua pamoja nazo.
Jinsi Muundo wa MCP Unavyozuia Uvujaji
Kwa timu zinazotumia Claude Desktop au Cursor IDE, muundo wa seva ya Model Context Protocol (MCP) unaweka kichujio cha vitambulisho katika njia kati ya msanidi programu na modeli ya AI.
Seva ya MCP inashughulikia kila maandishi yanayopita kwenye kikao. Msimbo uliobandiwa, mikondo ya matatizo, faili za usanidi, muundo wa utatuzi - yote hupita kwenye hatua ya kutoidhibitisha kabla modeli haijayaona.
Enjini inapata mifumo ya vitambulisho: miundo ya funguo ya API, nyuzi za hifadhidata, tokeni za OAuth, vichwa vya funguo za kibinafsi, na miundo ya kawaida timu yako ya usalama inavyofafanua. Kila mechi hubadilishwa na tokeni kabla ya usambazaji.
Hii inaonekana vipi kwa vitendo:
Msanidi programu anabandika mkondo wa matatizo wenye nyuzi ya muunganisho wa hifadhidata. Seva ya MCP inabadilisha nyuzi na [DB_CONNECTION_1]. AI inaona mkondo na tokeni badala yake. Inatoa msaada wa utatuzi kulingana na toleo la kutoidhibitishwa. Kitambulisho halisi hakijawahi kuondoka kwenye mtandao wa ndani.
Hii inazuia njia sawa ya uvujaji inayojaza GitHub na siri. Njia ni tofauti - zana za AI, si git commits - lakini suluhisho linafanya kazi sawa: izuie kabla haijatumwa.
Angalia muhtasari wetu wa usalama kwa jinsi anonym.legal inavyoshughulikia hili katika zana za AI na mifumo ya nyaraka, na kituo cha utiifu kwa udhibiti wa ukaguzi.
Ugunduzi Baada ya Ukweli ni Kuchelewa Sana
Baadhi ya timu hutumia uchanganuzi wa baada ya kuchangia kukamata siri zilizovuja. GitGuardian na truffleHog hufanya kazi vizuri kwa njia ya GitHub. Hawafuniki vikao vya zana za AI.
Siri inapofika kwenye seva za mtoa huduma wa AI, wazi imeisha. Uchanganuzi unaikuta baadaye. Kutoidhibitisha kwa safu ya MCP kunazuia isifike kwenye modeli kabisa.
Uvujaji milioni 39 wa GitHub unaandika njia moja. Wazi wa zana za AI ni tatizo sawa katika njia yenye ufuatiliaji mdogo na mlolongo wa ukaguzi. Kuzuia kabla ya usambazaji kunafunika vyote viwili.