GitHub تمنع افتراضيًا دفع أي commit يحتوي مفتاح Anthropic API، حتى في المستودعات العامة المجانية

أعلنت GitHub في 13 أكتوبر 2026 أن نوعَي مفاتيح Anthropic، وهما anthropic_service_api_key وanthropic_user_api_key، صارا ضمن push protection افتراضيًا. ويعني ذلك أن أي commit يحتوي أحد هذه المفاتيح يُمنع دفعه حين يكون فحص الأسرار مفعّلًا، بما في ذلك المستودعات العامة المجانية.

وخاصية push protection ليست جديدة، فهي تفحص الـ commits قبل قبولها وترفض ما يحتوي أسرارًا معروفة الشكل. والجديد أن مفاتيح Claude دخلت القائمة الافتراضية. وأضاف التحديث أيضًا كاشفات لـ cloudsmith_api_key ولرمز Salesforce Marketing Cloud OAuth2، دون أن يذكر أنهما ضمن الحماية الافتراضية.

وفي التحديث نفسه بند آخر: أسرار الشركات الشريكة التي يُعثر عليها في مستودع عام تُبلَّغ بها الجهة التي أصدرتها، لتلغيها أو تستبدلها. أي أن تسرب المفتاح في مستودع عام لم يعد شأنًا يعرفه صاحبه وحده.

وتظهر قيمة ذلك في سيناريو متكرر: مفتاح يتسرب في commit ويبقى صالحًا شهورًا لأن أحدًا لم يلاحظه، حتى تكشفه فاتورة التوكنز. ومع مفاتيح الموديلات، ترتفع هذه الفاتورة بسرعة.

لكن للحماية حدودًا. فهي تعمل عند الدفع فقط، ولا تتعامل مع مفتاح تسرب سابقًا في commit قديم داخل تاريخ المستودع. ولا تصف صفحة GitHub طريقة استبدال مفتاح تسرب بالفعل. ويبقى المفتاح المكشوف صالحًا حتى يُلغى، وحذف الـ commit وحده لا يكفي، لأن المفتاح يكون قد قُرئ.

وبالنسبة للفرق التي تبني منتجاتها على Claude، يضيف ذلك طبقة حماية دون إعداد، تمنع النوع الأكثر شيوعًا من التسريب قبل أن يصل إلى المستودع.