Всяко съвременно предприятие зависи от идентификационните данни. Това е начинът, по който хората, системите, а вече и изкуственият интелект, се свързват сигурно с данни, услуги и помежду си. GitGuardian помага за защитата на този слой от идентификационни данни чрез три свързани възможности: Откриване (Detect), Отстраняване (Remediate) и Предотвратяване (Prevent). Пътуването започва с откриването, защото организациите първо трябва да разберат какви идентификационни данни съществуват, къде се намират и до какво имат достъп. Това е първата от трите статии, които публикуваме, за да обясним причината за нашата мисия.
Производството на софтуер се ускорява извън предположенията за растеж, които оформяха много от днешните механизми за контрол на сигурността. Главният оперативен директор на GitHub Кайл Дейгъл (Kyle Daigle) заяви, че платформата е преминала от приблизително 1 милиард коммита през цялата 2025 г. до 2,9 милиарда коммита през август 2026 г., което представлява годишно темпо от над 14 милиарда за отчетната 2026 година. Собственият инженерно-технически екип на GitHub стигна още по-далеч в планирането на капацитета си, заявявайки, че е преминал от подготовка за 10-кратен мащаб към проектиране за бъдеще, изискващо 30-кратен спрямо днешния мащаб с ускоряването на агентната разработка.
Цялото това производство на код означава повече инфраструктура и повече тайни. Повече приложения, нови видове интеграции, автоматизации, а сега и агенти, означават, че повече системи трябва да се автентикират пред нещо друго. Разкриването на идентификационни данни вече е проблем с нарастващ мащаб. GitGuardian откри 28,65 милиона нови твърдо кодирани тайни в публични GitHub коммити през 2025 г., което е увеличение с 34% на годишна база. Изтеклите идентификационни данни, свързани с услуги за изкуствен интелект, са се увеличили с 81%.
Екипите по сигурност трябва незабавно да осигурят видимост върху този разширяващ се слой от идентификационни данни.
GitGuardian подхожда към сигурността на слоя от идентификационни данни чрез три свързани етапа: Откриване, Отстраняване и Предотвратяване. Откриването е на първо място, защото всяко последващо действие зависи от това да се знае кои идентификационни данни действително съществуват, къде са се разпространили и какъв достъп представляват.
Слоят от идентификационни данни няма удобен периметър
Слоят от идентификационни данни е съвкупността от идентификационни данни, свързващи хора, приложения, инфраструктура и услуги в цялото предприятие.
Неговият периметър следва самите идентификационни данни.
Разработчик ще създаде тайна в одобрен облачен акаунт, а по-късно същият този ключ, в некриптиран вид, ще се появи в хранилище или в споделена база от знания. Други тайни ще бъдат съхранявани в одобрен трезор, докато копия в некриптиран вид остават на лаптопа на разработчика. Още повече могат да бъдат създадени извън обичайния зрителен ъгъл на екипа по сигурност чрез личен проект или нововъведена AI услуга, особено от все по-нарастващ брой „непрофесионални разработчици“, които вече имат достъп до агенти за кодиране.
Резултатът е повърхност за атака, която пресича всички технологични граници и граници на собственост.
Същото изследване GitGuardian State of Secrets Sprawl 2026, което цитирахме по-рано, показва колко широка е станала тази повърхност. Вътрешните хранилища са били приблизително шест пъти по-склонни да съдържат поне една тайна в сравнение с публичните хранилища. Около 28% от инцидентите с тайни са възникнали изцяло извън хранилищата с изходен код – в системи за съвместна работа и продуктивност.
Това поставя екипите по сигурност пред основно предизвикателство, свързано с откриването. Всеки скенер, трезор, хранилище или крайна точка може да опише частта от слоя от идентификационни данни, която вижда. Организацията все още се нуждае от начин да разбере цялостната съвкупност.
Всеки източник на откриване предоставя частична картина
Контролът на изходния код остава от съществено значение, тъй като твърдо кодираните идентификационни данни оставят трайни доказателства.
Идентификационни данни, премахнати от текущата версия на даден файл, могат да останат в историята на Git. Копия могат да се разпространят в други клонове или хранилища. Публичното разкриване може да изведе стойността извън контрола на организацията, което прави изключително трудно за когото и да било да забележи това веднага.
Вътрешните хранилища разкриват друга голяма съвкупност. Те съдържат идентификационните данни, които разработчиците и приложенията използват по време на нормална работа, включително достъп до облачни среди и вътрешни услуги.
Системите за съвместна работа разкриват различна част от слоя от идентификационни данни. Идентификационните данни се поставят в тикети по време на отстраняване на неизправности. Преминават през чатове по време на предаване на задачи. Те могат да останат достъпни за търсене дълго след като работата, която ги е изисквала, е приключила.
Лаптопите на разработчиците съхраняват всички идентификационни данни
Разработчиците са в основата на цялото това създаване, използване и разполагане на тайни. Доскоро се смяташе за нормална практика да се използват локални файлове на средата за съхранение на тайни на приложенията, а инструментите от командния ред да кешират идентификационни данни, използвани за достъп до облачни услуги. Опасността от неизчистена история в локалния шел, която може да запази стойности дълго след като някой е забравил, че са били въведени, изглеждаше сравнително ниска.
След това атакуващите промениха подхода си. Краят на 2025 г. донесе нови вълни от атаки със софтуер за кражба на информация, като Shai-Hulud и S1ingularity, които превърнаха лаптопа на разработчика в мишена и входна точка към веригата за доставки.
Всеки лаптоп е част от слоя от идентификационни данни и тайните, които съдържа, трябва да бъдат картирани.
Сканирането на хранилищата показва идентификационните данни, които са стигнали до контрола на изходния код. Публичният мониторинг разкрива излагания извън корпоративните хранилища. Откриването на ниво крайни точки идентифицира тайни, които може никога да не са влизали в централно наблюдавана система.
Слоят от идентификационни данни става видим едва когато тези гледни точки бъдат свързани.
Атакуващите вече търсят отвъд тези граници
Атакуващите вече са се адаптирали към факта, че идентификационните данни съществуват както в управлявани, така и в неуправлявани среди.
Компрометираните идентификационни данни вече представляват 22% от първоначалния достъп според доклада 2026 Verizon Data Breach Investigations Report. Техните данни също така откриват корпоративни идентификационни данни върху неуправлявани устройства, което е довело до значителен брой от пробивите, които са изследвали. Корпоративният достъп може бързо да премине граница, която екипите по сигурност смятат за съществена.
А техният отчетен период приключи преди червеите за кражба на информация да станат толкова широко разпространени, колкото видяхме в началото на 2026 г.
Този саморазпространяващ се зловреден софтуер, изпълняващ се на крайна точка, може да търси в данни на браузъра, локални файлове и хранилища на приложения. Той може да събира каквито и да са налични материали за автентикация, без да се интересува кой екип ги е създал или кой продукт за сигурност е трябвало да ги управлява.
Системите на разработчиците представляват особено ценна мишена. Машината на разработчика може да се автентикира пред контрола на изходния код и облачната инфраструктура. Тя може също така да съхранява локални идентификационни данни за приложения в процес на разработка. Компрометирането на тази крайна точка може да разкрие достъп, който обхваща няколко иначе отделни части от предприятието.
Екипите по сигурност трябва да извършат тази инвентаризация, преди да го направи някой атакуващ.
Лаптопът на разработчика се споделя с нов тип потребител
Крайните устройства на разработчиците винаги са натрупвали идентификационни данни, тъй като създаването на софтуер изисква свързване на системи. Сега обаче съществува нов тип вътрешен субект, който има достъп до същата тази машина – AI агентите.
Агентите за кодиране могат да четат файлове, да изпълняват команди и да взаимодействат с външни услуги. Връзките по Model Context Protocol могат да дадат на тези агенти достъп до допълнителни инструменти. Всяка връзка въвежда още едно място, където трябва да се установи автентификация и авторизация.
Анализът на GitGuardian на системи, компрометирани по време на кампанията за атака по веригата на доставки Shai-Hulud 2, предоставя рядък поглед върху плътността на идентификационните данни на тези машини. В 6 943 компрометирани системи изследователите са идентифицирали 33 185 уникални тайни. Четиридесет и четири процента от компрометираните машини са съдържали повече от 10 тайни, докато 5% са съдържали повече от 100.
В същото време начинът, по който автентифицираме AI агентите, създаде нов пробив в сигурността. В същия доклад видяхме 24 008 уникални тайни в публични MCP конфигурационни файлове през 2025 г., от които 2 117 бяха потвърдени като валидни.
Екип по сигурността, който сканира хранилища, може да знае много за хранилищата. Той все още има ограничена видимост върху идентификационните данни, намиращи се на машините, където кодът се създава, тества и свързва с външни системи.
AI агентите могат да правят неочаквани неща с този достъп. Той може да бъде злоупотребен от атакуващи, но е също толкова вероятно да доведе до отрицателни резултати поради това, че AI предприема изненадващо действие, като например изтриване на производствена база данни.
Екипите по сигурността трябва да разберат какво точно имат достъп тези агенти, за да разберат риска.
Откриването се нуждае от контекст около всеки идентификационен данък
Намирането на тайна осигурява първата координата. Екипите по сигурността се нуждаят от заобикалящия контекст, за да разберат риска, който тя представлява.
Валидността е един от най-непосредствените сигнали.
За съжаление повечето тайни остават валидни много по-дълго, отколкото трябва. В идеалния случай всички идентификационни данни биха се създавали точно навреме (just in time) и биха изтичали след употреба, но GitGuardian тества отново идентификационни данни, потвърдени като валидни през 2022 г., и установи, че 64% от тях са все още валидни през януари 2026 г.
Следователно едни идентификационни данни могат да останат полезни за даден атакуващ години след първоначалното компрометиране.
Местоположението на тайната добавя друго измерение към оценката на риска.
Идентификационни данни, намерени веднъж във вътрешно хранилище, имат една история на излагане. Същите идентификационни данни, появяващи се на лаптоп и по-късно в публично хранилище, са пътували много по-далеч. Всяка поява разширява набора от хора и системи, които може да са имали достъп до тях.
Отпечатъците на идентификационни данни (credential fingerprinting) могат да свържат тези появи, като същевременно запазват един запис за съответните данни. Седем откривания на една и съща тайна представляват едни идентификационни данни със седем известни излагания. Третирането им по този начин осигурява по-точна инвентаризация и по-ясна представа за това колко далеч са се разпространили.
Собствеността осигурява друг слой.
Екипите по сигурността трябва да знаят кой потребител, работно натоварване или приложение разчита на идентификационните данни. Собствеността свързва констатацията с екипа, отговорен за управлението на достъпа – не само кой я е създал, но и под каква политика или управление попада това.
Обхватът на разрешенията показва какво могат да правят идентификационните данни и опасността, която носят.
Идентификационни данни, ограничени до разработвана услуга, представляват един обхват на риск. Производствени идентификационни данни с широки административни разрешения представляват друг. Валидността и контекстът на разрешенията заедно разкриват кои констатации заслужават най-бързо внимание.
Зависимостите допълват картината.
Дадени идентификационни данни могат да бъдат силно изложени, като същевременно поддържат критични работни натоварвания. Разбирането на тези взаимовръзки дава на организацията информацията, от която тя в крайна сметка ще се нуждае, за да ротира или отмени сигурно идентификационните данни.
Откриването трябва да генерира запис на идентификационните данни, обогатен с този контекст.
Екипите по сигурността се нуждаят от реален знаменател за своите метрики за покритие
Много предприятия вече имат силни програми за управление на тайни.
Тези системи предоставят ценна информация за идентификационните данни, които вече са под управление. Те могат да покажат какво е съхранено, кой има достъп и как се използва тайната.
По-голямото картографиране на слоя от идентификационни данни определя колко пълно е в действителност това покритие.
Например една компания може да има 50 000 идентификационни данни, съхранявани в одобрени трезори, докато хиляди други стоят в прав текст в хранилища, крайни устройства на разработчици или системи за сътрудничество. Но от своите доклади те показват как се отчитат тайните, за които знаят, оставайки слепи за тези, създадени извън техните планирани утвърдени пътища. Някои от тези идентификационни данни могат да съответстват на стойности, вече съхранявани в трезора. Други могат да съществуват напълно извън всеки одобрен мениджър.
Екипите по сигурността трябва да знаят каква част от съвкупността от идентификационни данни има идентифициран собственик. Те трябва да знаят колко активни идентификационни данни могат да бъдат свързани с разрешения и зависими работни натоварвания. Те също така се нуждаят от видимост кои идентификационни данни са преминали в публични среди.
Тези измервания зависят първо от откриването на съвкупността.
Всичко се ускорява, включително атакуващите
Програмите за сигурност, изградени около периодично откриване, ще бъдат подложени на все по-голям натиск с ускоряването на производството на софтуер. Този исторически растеж представлява повече от просто допълнителен код.
Докладите на GitGuardian показват, че за времето, през което изследват тази област, излагането на тайни се е увеличило 1,6 пъти по-бързо от броя на активните разработчици.
Атакуващите се възползват от това, като същевременно ускоряват и скоростта на своите атаки.
CrowdStrike съобщи за средно време за пробив при киберпрестъпления (eCrime breakout time) от 29 минути през 2025 г., като най-бързият наблюдаван случай достига странично придвижване (lateral movement) за 27 секунди. Защитниците трябва да реагират със скоростта на машините, тъй като дните, в които човек извършва атака, вече са зад гърба ни. Наличното време за реакция само ще продължи да намалява.
Отговорът не може да бъде просто по-бърза реакция, а изместване към превенция. A това не е възможно, докато не разберете какво се опитвате да предотвратите, което от своя страна изисква познаване на това какви повърхности имате в момента, в които могат да изтекат идентификационни данни.
Откриването изгражда картата за всичко, което следва
Първата стъпка в контролирането на риска от идентификационни данни е разбирането на слоя от идентификационни данни, с който организацията всъщност разполага.
Това изисква откриване в хранилища, публични излагания и крайни устройства на разработчици. То също така изисква контекст около всеки идентификационен данък, включително валидност, собственост, разрешения и зависимости.
Покритието на трезора се превръща в едно от измерванията в тази по-голяма картина. Констатациите в хранилищата се превръщат в друго. Откритията на крайните устройства добавят идентификационни данни, които може да са останали невидими за централните системи за сигурност.
Заедно те създават използваема инвентаризация на слоя от идентификационни данни.
Подходът на „откриване, отстраняване и предотвратяване“ започва с този инвентар, защото отстраняването и предотвратяването зависят от него. Екипите по сигурност трябва да знаят какво съществува, преди да могат систематично да премахват рискови идентификационни данни или да спрат разпространението на нови уязвимости.
Настоящият растеж вече увеличава цената на изчакването.
Преходът на GitHub от 1 милиард годишни comitt-a до темпо, измервано в стотици милиони на седмица, дава представа за предстоящия обем софтуер. В самия GitHub се подготвя инфраструктура за бъдеще, измервано с мащаб 30 пъти по-голям от днешния. Всяко ново приложение, агент и интеграция може да разшири допълнително слоя от идентификационни данни.
Екипите по сигурност се нуждаят от видимост, способна да се разширява със същото темпо.