Wer Software entwickelt, kennt das Problem: In Tausenden Codezeilen verstecken sich manchmal Passwoerter oder Zugangsschluessel, die dort nicht hingehoeren. GitHub, die weltweit groesste Plattform fuer Programmcode, durchsucht den Code seiner Nutzer automatisch nach solchen Geheimnissen. Doch dieses sogenannte Secret Scanning hatte bisher ein hartnaeckiges Problem - es schlug zu oft falschen Alarm. Jetzt soll ein Sprachmodell helfen, Echtes von Harmlosem zu unterscheiden.

In einem Blogbeitrag beschreibt GitHub, wie der Verifikationsschritt seines Secret-Scanning-Werkzeugs ueberarbeitet wurde. Statt sich nur auf starre Muster zu verlassen, kommt nun ein Large Language Model (LLM, also ein grosses Sprachmodell aehnlich wie ChatGPT) zum Einsatz, das den Kontext rund um einen verdaechtigen Codeabschnitt mitliest. Das Modell soll einschaetzen, ob eine gefundene Zeichenkette tatsaechlich ein echtes Geheimnis ist - etwa ein gueltiger API-Schluessel - oder bloss ein Beispiel, ein Testwert oder ein Platzhalter aus der Dokumentation. Konkrete Zahlen zur Fehlerquote nennt das Material nicht; GitHub spricht allgemein davon, dass Alarme dadurch verlaesslicher und besser handhabbar wuerden.

Die Einordnung ist wichtiger, als sie auf den ersten Blick klingt. Sicherheitsteams in Unternehmen ertrinken oft in Warnmeldungen - und wenn von hundert Alarmen neunzig falsch sind, gewoehnen sich die Verantwortlichen daran, sie wegzuklicken. Genau dann wird die eine echte Warnung uebersehen, hinter der ein offen im Netz liegender Zugangsschluessel steht. Solche Lecks fuehren regelmaessig zu Datenpannen, weil Angreifer mit den Schluesseln direkt in Cloud-Konten oder Datenbanken spazieren koennen. Wenn GitHub es schafft, das Grundrauschen zu senken, bekommt jede verbleibende Warnung mehr Gewicht. Gleichzeitig zeigt der Schritt einen Trend: KI wandert immer tiefer in die Werkzeuge, die Entwickler ohnehin taeglich nutzen - nicht als sichtbarer Chatbot, sondern als unsichtbare Pruefinstanz im Hintergrund.

Offen bleibt im Material einiges. GitHub nennt im vorliegenden Hinweis weder, welches Sprachmodell konkret verwendet wird, noch um wie viel Prozent die Fehlalarme tatsaechlich sinken oder ob umgekehrt mehr echte Geheimnisse uebersehen werden koennten. Auch die Datenschutzfrage - schliesslich liest ein KI-System nun Code-Kontext mit, der Geschaeftsgeheimnisse enthalten kann - ist im gelieferten Auszug nicht beleuchtet. Vermutlich finden sich Details im Originalbeitrag, im Material sind sie nicht belegt. Ebenso unklar ist, ob die Verbesserung fuer alle Nutzer gilt oder nur fuer zahlende Kunden mit Advanced Security.

Wer das Thema weiterverfolgen will, sollte in den naechsten Wochen darauf achten, ob GitHub konkrete Messwerte nachliefert und ob andere Anbieter aehnlicher Sicherheitswerkzeuge - etwa GitLab oder spezialisierte Scanner - nachziehen. Spannend wird auch, ob unabhaengige Sicherheitsforscher die neue Methode pruefen und bestaetigen koennen, dass das LLM nicht nur weniger Fehlalarme produziert, sondern auch keine echten Bedrohungen uebersieht.