概念secret scanning / Secret Scanning
密钥扫描
一种自动化安全技术，用于扫描代码仓库中泄露的API密钥、令牌和凭证等敏感信息，是代码安全管理的重要组成部分
时间轴 (近 90 天)
10月30日
客户端凭据管理的正确做法包括：后端代理访问、短期令牌替代长期密钥、发布前自动化扫描、凭据轮换与最小权限。
待验证50%
10月16日
密钥和令牌一旦被扫描并外传，可能导致云服务账户被劫持、代码仓库被篡改，以及作为供应链攻击的跳板。
待验证50%
9月11日
GitHub团队分享了在密钥扫描（secret scanning）真实场景下评估大语言模型的实战经验
待验证50%
9月11日
密钥扫描任务需要模型从海量代码中准确识别泄露的API密钥、令牌和凭证
待验证50%
9月11日
在密钥扫描场景中，误报（false positive）和漏报（false negative）的代价都极高，漏报可能导致数据泄露，误报会淹没安全团队产生大量无效告警
待验证50%
9月11日
GitHub团队强调评估过程中必须结合具体业务目标来设定指标阈值，密钥扫描的平衡点没有通用答案，必须基于真实数据反复校准
待验证50%
全部知识事实 (6)
待验证
客户端凭据管理的正确做法包括：后端代理访问、短期令牌替代长期密钥、发布前自动化扫描、凭据轮换与最小权限。
50%待验证密钥和令牌一旦被扫描并外传，可能导致云服务账户被劫持、代码仓库被篡改，以及作为供应链攻击的跳板。
50%待验证密钥扫描任务需要模型从海量代码中准确识别泄露的API密钥、令牌和凭证
50%待验证在密钥扫描场景中，误报（false positive）和漏报（false negative）的代价都极高，漏报可能导致数据泄露，误报会淹没安全团队产生大量无效告警
50%待验证GitHub团队强调评估过程中必须结合具体业务目标来设定指标阈值，密钥扫描的平衡点没有通用答案，必须基于真实数据反复校准
50%待验证GitHub团队分享了在密钥扫描（secret scanning）真实场景下评估大语言模型的实战经验
50%