GitHub torna o secret scanning mais confiável ao reduzir falsos positivos em escala

O GitHub não só reduziu falsos positivos no secret scanning, fez isso sem tocar na camada de detecção original, o que é crítico para operações em escala. A mudança está na etapa de verificação: em vez de usar LLMs com arquivos brutos, o sistema agora extrai trechos de código com alto sinal de risco (como fluxo para cabeçalhos de autenticação ou SDKs de nuvem) e os submete a um raciocínio agente estruturado. Isso evita confundir UUIDs, placeholders ou strings de teste com segredos reais, um problema antigo que gerava alertas inúteis e desgaste operacional nas equipes de segurança.

A abordagem foi validada com centenas de falsos positivos confirmados por clientes reais, não apenas em laboratório. O resultado prático? 75,76% de redução no ruído, com latência controlada, o que significa que os engenheiros recebem menos alertas falsos, mas continuam vendo todos os segredos reais expostos. Não é mais 'mais IA', é IA com propósito técnico definido: filtrar contexto, não conteúdo.

Na cobertura de 11/06, o CEVIU já havia antecipado a mudança no pipeline de verificação com LLMs sensíveis ao contexto, mas a notícia atual confirma a entrega real, com métrica concreta (75,76%) e detalhes técnicos novos: a extração seletiva de trechos de alto sinal (não arquivos inteiros), a parceria formal com a equipe de Microsoft Security & AI's Agents Offense e a integração explícita com a abordagem do Agentic Secret Finder. Também ficou claro que essa otimização não depende de retuning dos detectores, o que preserva a cobertura de 39 milhões de segredos encontrados em 2024.

Falsos positivos em secret scanning corroem a confiança nas ferramentas de segurança. Quando equipes ignoram alertas por excesso de ruído, segredos reais passam despercebidos. Essa melhoria eleva a taxa de acerto sem sacrificar cobertura, o que diretamente reduz o tempo gasto em triagem manual e aumenta a velocidade de resposta a exposições reais. Para empresas sob LGPD ou ISO 27001, isso significa menos risco de auditorias falhas por 'alertas não investigados' e mais eficiência na gestão de vulnerabilidades de cadeia de suprimentos.