GitHub 换掉 LLM 秘密扫描：ModernBERT 分类器快 86%、成本省 98%

GitHub 在 10 月 13 日的博客里说明，秘密扫描已经换掉原来的 LLM 流水线：先用正则以高召回捞候选，再由一个微调的 ModernBERT 分类器把候选值连同文件路径、变量名与周边代码一起读进去，判断它是不是真凭证。高置信结果才变成告警，占位符、测试夹具、构建号与校验和这类「长得像但不是」的负例在到达开发者之前被过滤掉。

官方给的理由与数字：结构化凭证带前缀、长度、字母表或校验和，通用秘密没有，语法与构建号、校验和、资源哈希、示例值重叠，唯一的判别信号是上下文；靠继续加规则只能压掉一部分假阳性，而每条例外都可能藏住一条真秘密，所以换成学上下文的分类器。切换后的结果——后推扫描的执行时间中位数降 86%，用户接受率（即开发者认可告警为真）提升 11.5%，成本比 LLM 流水线节省超过 98%；也因为够快，通用秘密检测第一次接进推送保护，在提交之前拦，而不是提交之后报警。

这是「小模型替掉 LLM 流水线」在安全扫描上的一个具体样本：同一件事改用更小的模型在自家推理基础设施上跑，换来更低成本与更低延迟，代价是自己训练并维护这个分类器。官方只说明它是在内部数据上做了微调的 ModernBERT，未公布训练数据规模与模型参数量。

原文链接：GitHub Blog