טעות קטנה בקובץ הגדרות, פקודת git push אחת בלי תשומת לב, וחשבון האשראי של הסטארטאפ מתחיל לתדלק קריאות API של זרים. אתמול, 13 באוקטובר 2026, הודיעה GitHub בעדכון הרשמי שלה על שדרוג למערך סריקת הסודות, שכולל הפעלה של חסימת דחיפה כברירת מחדל למפתחות של חברת ה-AI המובילה Anthropic. אם הקוד שלכם יושב במאגר ציבורי, השרת פשוט יסרב לקבל את הקומיט עוד לפני שהמידע נרשם בהיסטוריה. זה פתרון מצוין למי שבונה בקוד פתוח, אבל מפתחים שעובדים במאגרים פרטיים יגלו מהר מאוד שהרשת הזאת לא נפרשת עבורם בחינם.
זה לא מספיק.
מחסום חינמי רק בציבורי
לפי העדכון הרשמי, GitHub הוסיפה גלאים ייעודיים עבור שני סוגים של מפתחות Anthropic: מפתחות משתמש מסוג anthropic_user_api_key ומפתחות שירות מסוג anthropic_service_api_key. שני הסוגים הללו נכנסו ישירות להגדרות ברירת המחדל של Push Protection בכל מאגר שבו מופעל secret scanning, כולל כל המאגרים הציבוריים החינמיים ברשת. המערכת בוחנת את תוכן הקבצים בעת שליחת הפקודה, מזהה את הדפוס המאפיין את המפתחות, ועוצרת את התהליך עוד בצד הלקוח עם הודעת שגיאה מפורטת. מדובר בהרחבה משמעותית של רשימת הסודות המוגנים, במיוחד עבור צוותים המשלבים מודלים כמו Claude בפיתוח השוטף.
מאגרים שבהם סריקת סודות מופעלת, כולל מאגרים ציבוריים חינמיים, יחסמו מעתה באופן אוטומטי קומיטים המכילים את הסודות הללו.GitHub Changelog
מאגרים פרטיים ללא רישיון GitHub Advanced Security בתשלום לא יחסמו את הפקודה git push, והמפתח יישאר חשוף בקוד. מפתחים רבים מניחים שאם מנגנון ההגנה פעיל בפלטפורמה, הוא שומר עליהם בכל מקום ובכל תרחיש. בפועל, במאגרים פרטיים של חשבונות רגילים המערכת לא תעצור את הדחיפה בזמן אמת, אלא אם הארגון שילם על חבילת האבטחה המתקדמת. לדעתי, לא הייתי ממהר לסמוך על השקט הזה כשמדובר בקוד עסקי שמוגדר כפרטי. מי שבונה פרויקט פנימי לחברה בישראל ודוחף בטעות טוקן של Anthropic לקוד, לא יקבל שום מחסום בטרמינל, והמפתח יישב בשרת ללא הפרעה.
ההבדל בין חסימה לדיווח
לצד Anthropic, העדכון הנוכחי כולל התייחסות לשני שחקנים נוספים: Salesforce וספקית ניהול החבילות Cloudsmith. עם זאת, קיים הבדל מהותי באופן שבו המערכת מטפלת בכל שירות. בעוד שמפתחות Anthropic זוכים לעצירה הרמטית ברמת ה-Push Protection עוד לפני יצירת הקומיט בשרת, המפתחות של Cloudsmith מסוג cloudsmith_api_key אינם נחסמים מראש בעת הדחיפה, אלא מוגדרים כסודות משתמש שמייצרים התראות אבטחה במאגרים.
במקביל, חברת Salesforce הצטרפה רשמית בתור שותפה אל secret scanning partnership program. המנגנון של שותפי סריקה פועל בצורה שונה לחלוטין מחסימת דחיפה. כאשר מזוהה טוקן מסוג salesforce_marketing_cloud_api_oauth2_token במאגר ציבורי, GitHub אינה חוסמת את פעולת ה-push. במקום זאת, המערכת מעבירה את המחרוזת שנחשפה ישירות לסיילספורס, כדי שהספקית תוכל לבטל את התוקף שלו או ליזום החלפה לפני שייעשה בו שימוש לרעה. זהו פתרון שמצמצם נזקים בדיעבד, אך אינו מונע את עצם החשיפה הציבורית ברגע הראשון.
| ספק | סוג מזהה (Secret Type) | חסימת דחיפה כברירת מחדל | ביטול אוטומטי דרך שותף |
|---|---|---|---|
| Anthropic | anthropic_service_api_key | כן | לא פורסם |
| Anthropic | anthropic_user_api_key | כן | לא פורסם |
| Salesforce | salesforce_marketing_cloud_api_oauth2_token | לא | כן |
| Cloudsmith | cloudsmith_api_key | לא | לא פורסם |
תבדקו את הריפו הפרטי
אם הצוות שלכם מטמיע כלי פיתוח מבוססי שפה, אסור לבנות על כך ששירות הענן של מיקרוסופט יפתור לכם את בעיות המשמעת בצוות. חברות רבות מגלות שמפתחות נשארים בהיסטוריית ה-Git במשך חודשים רק בגלל שהם ישבו בריפו פנימי שאף סורק חיצוני לא בדק. מעבר לכך, התמיכה החדשה של Salesforce מוגבלת כרגע אך ורק לטוקנים מסוג Marketing Cloud. מפתחות ה-CRM המרכזיים או אפליקציות מחוברות כלל אינם נכללים ברשימת הגלאים החדשה, ולכן לא זוכים אפילו לביטול דרך שותפים. החורים ברשת עדיין גדולים למדי.
ההגנה דורשת משמעת.
כדי לא לשלם על הזיות קוד של מודלים או בדיקות מקומיות שברחו לשרת, הצעד הנכון ביותר הוא להגדיר כלי בדיקה מקומיים מסוג pre-commit hooks עוד לפני שהקוד מגיע לסביבת הבקרה. בנוסף, מומלץ להיכנס להגדרות הריפו הפרטי שלכם ולבדוק אם חבילת GitHub Advanced Security זמינה לארגון שלכם, במקום לגלות את הפער כשיגיע החשבון מ-Anthropic. הודעות השגיאה של Git בטרמינל נשארות באנגלית יבשה ללא תרגום לעברית, אבל החיוב בכרטיס האשראי יהיה ברור לגמרי.
מקורות
- Secret scanning blocks Anthropic keys by default, adds Salesforcehttps://github.blog/changelog/2026-10-13-secret-scanning-blocks-anthropic-keys-by-default-adds-salesforce
- secret scanning partnership programhttps://docs.github.com/code-security/secret-scanning/secret-scanning-partnership-program/secret-scanning-partner-program
- secret scanninghttps://docs.github.com/code-security/secret-scanning/introduction/about-secret-scanning
- GitHubhttps://weba.co.il/tools/github/
הידיעה נכתבה מהמקורות שלמעלה בתאריך הפרסום, וכל טענה בה נבדקה מולם. מצאתם טעות? כתבו.