GitHubは2026年10月13日、秘密情報を見つけるシークレットスキャンと、コードの送信を止めるプッシュ保護の拡充を発表しました。AnthropicのAPIキー2種類が既定のプッシュ保護対象になり、スキャンが有効なリポジトリでは、対象キーを含むコミットを自動で遮断します。無料の公開リポジトリも今回の拡充に含まれます。
Anthropicの鍵は検出に加えて送信を遮断
APIキーは、プログラムからサービスを利用する際の認証に使う秘密情報です。今回、Anthropicの「anthropic_service_api_key」と「anthropic_user_api_key」が検出対象に加わりました。この2種類は、既定のプッシュ保護対象にも追加されています。
リポジトリはコードなどの保管場所、コミットは変更を記録する単位です。プッシュ保護は、変更をGitHubへ送る段階で秘密情報を含むコミットを止める仕組みです。今回の発表では、スキャンが有効なリポジトリで対象キーを含むコミットを自動遮断するとしています。
情シスが確認すべきなのは、「対象キーを使っているか」と「そのコードの保管先でスキャンが有効か」の両方です。無料の公開リポジトリも対象ですが、すべてのリポジトリで設定確認が不要になったという発表ではありません。
日本での提供は発表には書かれていません。日本語対応、日本向けの価格、提供地域の詳細も示されていません。
SalesforceとCloudsmithも検出を拡充
Salesforceはシークレットスキャンの提携先に加わりました。対象は「salesforce_marketing_cloud_api_oauth2_token」です。Cloudsmithでは「cloudsmith_api_key」が検出対象に追加されています。
GitHubによると、公開リポジトリで見つかった提携先の秘密情報は、発行元へ自動通知されます。一方、ユーザーの秘密情報については、公開・非公開リポジトリで検出した際にアラートを生成します。
このため、発行元への通知、利用者向けのアラート、送信時の遮断は分けて確認する必要があります。今回、既定のプッシュ保護への追加が明示されたのはAnthropicの2種類です。SalesforceやCloudsmithも同じ条件で送信が遮断されると、今回の発表だけから判断することはできません。
影響する会社・しない会社
- 影響する: Anthropicの対象キー2種類を使うコードを、スキャンが有効なGitHubリポジトリで管理する会社です。対象キーを含むコミットは自動遮断の対象になります。無料の公開リポジトリも含まれます。
- 影響する: Salesforceの対象トークンやCloudsmithのAPIキーを使う会社です。今回の検出拡充を踏まえ、発行元への通知やアラートの確認担当を整理する必要があります。
- 影響しない: Anthropicの対象キー2種類を使っていない会社は、その2種類の既定遮断追加による直接の影響はありません。ただし、SalesforceとCloudsmithの追加は別に確認が必要です。
- 影響しない: スキャンが有効でないリポジトリについて、今回の自動遮断が働くとは発表されていません。対象外と考えて放置するのではなく、設定確認が必要です。プラン別・版別の詳しい条件は発表には書かれていません。
情シスが今日やること
- 今日中に、開発責任者へ対象キーの種類を伝え、Anthropic、Salesforce、Cloudsmithを使うコードの保管先を一覧にしてもらいます。キーそのものは共有せず、リポジトリ名、公開・非公開の区別、管理担当者を集めます。
- 各リポジトリの管理担当者に、シークレットスキャンとプッシュ保護の設定状態を確認してもらいます。今回の発表には管理画面の具体的なメニュー名や操作経路がないため、画面上で確認した状態を記録してもらい、スキャン有効の保管先を特定します。
- 次のコード送信前に、Anthropicを使う開発担当者へ対象キー2種類と遮断条件を知らせます。送信が止まった場合の連絡先を、開発責任者と情シスの間で決めておきます。
- 今日中に、検出アラートを誰が確認するかを決めます。既存のアラートも担当者に点検してもらい、対象サービス、リポジトリ、キーの管理者を確認します。検出があれば、発行元に失効・再発行の必要性を確認する担当も割り当てます。対応期限は発表には示されていないため、社内で決めて記録してください。
