GitHub 秘密扫描升级：默认拦截 Anthropic 密钥并新增 Salesforce 支持
在 AI 应用开发日益普及的背景下，API 密钥的安全管理成为开发者面临的核心挑战。GitHub 近日发布了秘密扫描（Secret Scanning）功能的重大更新，不仅将支持范围扩展至 Salesforce 等主流云服务，更关键的是，对 Anthropic 的 API 密钥实施了默认拦截保护。
核心更新：默认拦截 Anthropic 密钥
此次更新最引人注目的变化在于对 Anthropic 服务密钥的检测策略调整。GitHub 现在默认将 anthropic_service_api_key 和 anthropic_user_api_key 纳入 Push Protection 机制。
这意味着，对于启用了秘密扫描的仓库（包括免费的公共仓库），任何包含上述 Anthropic 密钥的提交（Commit）都将被自动拒绝。这一策略的转变标志着 GitHub 从“事后发现”向“事前阻断”的安全防御模式跨越，极大降低了开发者因疏忽将 AI 模型密钥硬编码在代码库中而遭受数据泄露的风险。
新增合作伙伴：Salesforce 加入秘密扫描
GitHub 正式宣布 Salesforce 成为其秘密扫描计划的合作伙伴。当检测到 Salesforce 相关的敏感凭证（如 salesforce_marketing_cloud_api_oauth2_token）出现在公共仓库中时，GitHub 会立即将该信息转发给 Salesforce 团队。
通过这一合作伙伴机制，一旦密钥被发现，相关方可以迅速撤销或轮换凭证，防止其被恶意利用。这种跨平台的协同响应机制，构建了更完善的供应链安全防线。
技术细节与新增检测类型
除了上述重大策略调整外，GitHub 还自动检测了以下新的秘密类型：
- Anthropic:
anthropic_service_api_key,anthropic_user_api_key - Cloudsmith:
cloudsmith_api_key - Salesforce:
salesforce_marketing_cloud_api_oauth2_token
这些检测器不仅适用于公共仓库，也能在私有仓库中生成警报，帮助开发者及时清理敏感数据。
对开发者的实际价值
对于依赖 AI 工具进行开发的团队而言，此次更新具有极高的实用价值：
- 降低合规成本：默认拦截减少了手动配置安全策略的负担，符合日益严格的数据隐私法规。
- 防止 AI 模型滥用：直接针对 Anthropic 等主流大模型厂商的密钥进行保护，防止模型被非法调用或数据被窃取。
- 提升协作效率：通过自动阻断错误提交，减少因密钥泄露导致的紧急修复和信任危机。
GitHub 官方团队表示，随着 AI 密钥成为高价值目标，这种默认保护策略是保护开发者生态安全的必要举措。开发者应尽快检查现有仓库，移除任何未受保护的 API 密钥，并充分利用 Push Protection 功能构建更坚固的安全防线。
“随着 AI 模型的普及，保护这些关键凭证的安全性变得至关重要。通过默认拦截 Anthropic 密钥并引入 Salesforce 合作伙伴，我们旨在为所有开发者提供一个更安全的开发环境。” —— GitHub 安全团队
