Secret scanning do GitHub passa a detectar segredos em logs de workflows do Actions

O secret scanning do GitHub passou a olhar também os logs de workflows do Actions, além de issues, wikis, discussions e pull requests. O recurso está em public preview. Quando uma execução termina, o GitHub varre o log atrás de padrões de provedores. Os achados entram na lista de alertas de secret scanning do repositório, junto com os alertas de código, e trazem um link para o log do workflow. Para os tipos de segredo suportados, há verificação de validade. Os alertas continuam disponíveis mesmo se o log for apagado.

A preview vale para enterprises no GitHub Enterprise Cloud com GitHub Secret Protection ou GitHub Advanced Security, inclusive com data residency no GHE.com. O dono da enterprise liga a política em Policies, Advanced Security, escolhendo Enabled em All repositories. Ela vem desativada por padrão e só vale para repositórios que já têm secret scanning ativo sob essas licenças.

Limites da preview: só são escaneadas execuções concluídas depois da ativação, sem backfill de logs antigos. Padrões genéricos, padrões customizados, segredos detectados por IA e segredos já mascarados pelo Actions ficam de fora. Além disso, os alertas não geram notificações, então é preciso consultar a lista de alertas do repositório direto.

Em 6 de abril de 2026, o CEVIU noticiou que o GitHub adicionou 37 novos detectores de segredos e ampliou a varredura para agentes de codificação de IA. Em 23 de junho de 2026, na matéria sobre a redução de falsos positivos em escala, o raciocínio com LLM entrou na etapa de verificação. Agora a cobertura do secret scanning chega a uma nova superfície, os logs do Actions, não só o código e o conteúdo do repositório.

Para quem opera pipelines, isso cobre um vazamento comum: o segredo que escapa para o log de um job. Em 27 de outubro de 2026, o CEVIU noticiou a campanha Gheist, em que atacantes codificavam segredos em base32 para fugir do mascaramento nos logs. Como a preview não detecta segredos já mascarados e não notifica, leia o recurso como uma camada extra, não como substituto de boas práticas. Vale monitorar a lista de alertas por rotina, já que ninguém será avisado.