AIと共有するリポジトリの直下に、認証トークンが転がっていた

AIに仕事を任せる運用で、認証トークンがリポジトリ直下に置かれるインシデントが発生。AIとの共有範囲の線引きや、AIに見せない・公開しない物の区別について、運用上の教訓を共有。

• AIとの連携で、意図せず個人情報や認証トークンなどの機密情報がリポジトリに紛れ込むリスクが顕在化しました。
• AIとの情報共有においては、「どこまで見せるか」という線引きを明確にし、機密情報の管理を仕組み化することが重要です。
• 機密情報の管理は、「どこにも書かない物」「書くけど公開しない物」「公開前にチェックする物」の3層に分けることが提案されています。
• 自動で即コミットされる経路には機密を流さず、公開前の機密チェックは機械と目視の二段構えで行うことが推奨されています。