GitHub、Anthropic APIキーのpushを既定でブロック

何が発表されたか

GitHubは10月13日、シークレットスキャニングの更新を公開した。アプリケーションセキュリティ分野の改善として、検知対象の追加、パートナーの追加、push protection の既定変更の3点が含まれる。

• 新しい検知対象: Anthropic の anthropic_service_api_key と anthropic_user_api_key、Cloudsmith の cloudsmith_api_key を自動検知する
• push protection の既定変更: 上記2種類の Anthropic キーが既定でブロック対象になった。シークレットスキャニングが有効なリポジトリ（無料の公開リポジトリを含む）では、これらのキーを含むコミットが自動的にブロックされる
• パートナー追加: Salesforce がシークレットスキャニングのパートナープログラムに参加。対象は salesforce_marketing_cloud_api_oauth2_token。公開リポジトリで見つかった場合、GitHub が Salesforce に転送し、失効やローテーションにつなげる

パートナーのシークレットは公開リポジトリで見つかると発行元に通知される。ユーザーシークレットは公開・非公開いずれのリポジトリでもアラートが生成される。

取るべき対応

影響を受けるのは、Anthropic の APIキーや Salesforce Marketing Cloud のトークンをコードから扱っている開発者・運用担当者。

• push が失敗する可能性に備える: Anthropic キーを含むコミットは既定でブロックされる。設定ファイルやテストコード、サンプルにキーを直接書いている場合、次の push から通らなくなるため、環境変数やシークレットストアへの移行を先に済ませておきたい
• 公開してしまったキーは失効させる: 過去のコミットに残っているキーは、履歴から消すだけでは不十分。Anthropic 側でローテーションする
• 自分のリポジトリで有効か確認する: 今回の既定ブロックは「シークレットスキャニングが有効なリポジトリ」に適用される。無効のままでは恩恵を受けられないため、組織のリポジトリ設定を見直す
• Salesforce Marketing Cloud のトークン: 公開リポジトリでの露出が発行元に通知される前提になった。該当トークンを扱う案件では管理方法を整えておく

発表には具体的な手順の記載はなく、シークレットスキャニングが有効なリポジトリでは Anthropic キーの push protection が自動的に適用されるとされている。詳細はシークレットスキャニングのドキュメントとコミュニティディスカッションが案内されている。