AI開発の加速で広がる認証情報の拡散、開発者端末や社内ツールに潜む死角をGitGuardianが報告

要点

• GitHub上のコミット数が2025年通年の約10億件から2026年8月には単月29億件へと急増し、AIエージェント普及に伴うコードと認証情報の生成が爆発的に加速している。

• GitGuardianの調査によると、2025年に公開GitHubで検出されたハードコードされたシークレットは前年比34%増の2865万件に達し、AIサービス関連の認証情報漏洩は81%増加した。

• 内部リポジトリは公開環境に比べシークレット混入率が約6倍高く、インシデントの約28%はチャットやチケット等のコラボレーションツールから発生している。

• 開発者端末を狙う情報窃取攻撃が台頭しており、2026年のデータ侵害における初期アクセスの22%を侵害された認証情報が占めている。

• GitGuardianは、多様な環境に拡散した認証情報の全体像を横断的に把握する「検出」の確立が不可欠であると提唱している。

• セキュリティ企業のGitGuardianは2026年10月5日、AIエージェントの普及とソフトウェア開発の急加速に伴い、企業内の認証情報（シークレット）が従来のセキュリティ監視を超えて急速に拡散している実態を公表した。GitHubにおけるコミット数が急増するなか、漏洩するシークレットの件数も大幅に増加しているという。同社は、人間やシステム、AIを接続する「認証情報レイヤー」には明確な境界線が存在しないと指摘し、コードリポジトリや開発者端末、社内ツールに散在する認証情報の全体像を可視化することが急務であると説明している。

AI活用によるコミット数急増とシークレット露出の拡大

開発現場ではAIエージェントの活用が進み、コード生成のペースが従来の想定を大きく上回る勢いで加速している。GitHubのCOO（最高執行責任者）であるKyle Daigle氏が明かしたデータによると、GitHub上のコミット数は2025年通年で約10億件だったのに対し、2026年8月には単月だけで29億件に達した。年換算では140億件を超えるペースとなる。GitHubのエンジニアリングチームも、エージェント型開発の加速を受け、従来の10倍想定から現在比30倍の規模を想定したキャパシティ計画へ移行しているという。

コード生成の急増に伴い、各種インフラや外部サービスへ接続するためのシークレット（APIキーやパスワードなどの機密情報）も増加している。GitGuardianの年次レポート「State of Secrets Sprawl 2026」によると、2025年に公開GitHubコミットから検出されたハードコード（コード内への直接記述）シークレットは前年比34%増の2865万件に上り、AIサービス関連の認証情報漏洩は81%増加した。

境界線を越えて広がる認証情報と発見の難しさ

企業内で利用される認証情報の集合体である「認証情報レイヤー」は、特定のシステム境界にとどまらない。開発者が正規のクラウド環境で作成したキーが平文（暗号化されていない状態）でリポジトリや社内ナレッジベースに保存されたり、承認済み管理金庫（Vault）にあるシークレットの平文コピーが端末に残ったりする事例が後を絶たない。コーディングエージェントを使うシチズンデベロッパー（専門外の開発者）の増加や個人プロジェクトの立ち上げも、監視外でのシークレット生成を後押ししているという。

同社の調査では、内部リポジトリは公開リポジトリと比べシークレットが含まれる確率が約6倍高かった。さらに、シークレット漏洩インシデントの約28%はコードリポジトリ外のチャットツールやチケット管理システムといったコラボレーションシステムで発生していた。トラブル対応や引き継ぎ時に共有された認証情報が、作業完了後も検索可能な状態で放置されることが要因として挙げられている。

開発者端末を狙う攻撃と統合的な検出の必要性

開発者の端末も大きなリスクを抱えている。ローカル環境設定ファイル（.envファイル）やCLIツールのキャッシュ、シェルのコマンド履歴に平文シークレットが残るリスクは従来軽視されがちだったが、攻撃者の標的はすでに端末へ移行している。2025年末には「Shai-Hulud」や「S1ingularity」などのインフォスティーラー（端末から認証情報を盗み出すマルウェア）攻撃が発生し、開発者PCがサプライチェーン侵入の足がかりとして狙われるようになった。「2026 Verizon Data Breach Investigations Report」でも、初期侵入経路の22%を侵害された認証情報が占めていると報告されている。

GitGuardianは、Git履歴スキャンや端末スキャンなど個別の監視では部分的な把握にとどまると指摘する。同社は「Detect（検出）」「Remediate（修復）」「Prevent（防止）」の3段階を提唱し、すべての対策の前提として、組織内にどのような認証情報が存在し、どこに拡散しているかを正確に把握する統合的な「検出」が不可欠であると説明している。