基本1．ソースコードに埋め込まれた秘密情報を検出する

　主要セキュリティ機能の1つ目は、「Secret Scanning」だ。開発の現場では、APIキーや認証情報などの秘密情報を誤ってリポジトリに含めてしまう恐れがある。Secret Scanningは、こうしたシークレットの露出を検出するための機能だ。

　GitHub Secure Open Source Fundでは、過去のセッションを含め、2026年8月までに650件を超えるシークレットの露出に対処した。また、2026年7月までの直近6カ月間には、119件のシークレットが公開されるのを未然に防いだ。

基本2．コードを継続的にスキャンする

　2つ目は「Code Scanning」だ。コードを自動的に解析し、脆弱性につながる可能性のある問題を検出する仕組みを開発プロセスに組み込む。

　GitHubによると、プログラムに参加したプロジェクトと修了プロジェクトは、2026年7月までの直近6カ月間に、コード解析ツール「CodeQL」で検出された4210件のアラートを修正した。

　AIによってコード生成や変更の速度が上がれば、人間が全ての変更を目視で確認することは難しくなる。自動スキャンを開発プロセスに組み込むことは、AI時代に一層重要になりそうだ。

基本3．重要なブランチを保護する

　3つ目は「Protected Branches」だ。ソフトウェアのセキュリティでは、コードそのものだけでなく、変更を本番コードに取り込むまでのプロセスを守る必要がある。

　今回のプログラムでは脅威モデリングやセキュアコーディングなどを扱った。またGitHubは、AI時代になっても、依存関係やリリースワークフローを保護するといった従来のセキュリティ対策は引き続き必要だと指摘している。

　重要なブランチへの変更に一定の制約を設けることは、意図しない変更や不正なコードがそのまま取り込まれるリスクを抑える基本策となる。

基本4．脆弱性を非公開で報告できる経路を用意する

　4つ目は「Private Vulnerability Reporting」だ。脆弱性を発見した研究者や利用者が、安全な方法でプロジェクトのメンテナーに報告できる仕組みを整えるものだ。

　GitHub Secure Open Source Fund全体では、2026年8月までに533件の新たなCVEを特定、開示した。脆弱性の発見だけでなく、発見後に安全に報告を受け付け、修正につなげる仕組みを整えることも重要になる。

　脆弱性を「発見しない」ことだけを目指すのではなく、発見された後に安全かつ迅速に情報を受け取り、修正へつなげる体制が必要ということだ。

基本5．依存関係の脆弱性を継続的に更新する

　5つ目が「Dependabot」だ。OSSでは、単独のコードだけでソフトウェアが構成されることは少なく、多数のライブラリやパッケージを利用する。自分たちが手元で書いたコードに問題がなくても、依存先に脆弱性が見つかれば影響を受ける可能性がある。

　GitHub Secure Open Source Fundでは、過去のセッションを含め、2026年8月までに1500件を超えるDependabotのセキュリティアップデートを実施した。

　依存関係を把握し、脆弱性が発見された際に更新できる状態を維持することも、OSSを安全に使い続けるための基本となる。

AIを導入しても「基本的なセキュリティ対策」はなくならない

　第4回セッションでは、脆弱性のトリアージや脅威モデリング、コードレビュー、修正などにAIが活用された。GitHubによると、AIはメンテナーによる調査や優先順位付け、対応を高速化できる。一方、最終的に何を採用するかを決めるためのコンテキストや判断、説明責任は依然として人間が担う必要がある。

　また、AI特有のセキュリティ課題が増えても、従来からある脆弱性管理や依存関係の保護、リリースワークフローの保護、インシデント対応といった責務がなくなるわけではない。GitHubは、AIセキュリティが独立した特殊領域ではなく、安全なソフトウェアを作るための一般的なセキュリティ活動の一部になりつつあると指摘している。

本稿は、Githubが2026年8月13日に公開したWhat 50 open source projects taught us about security in the AI eraを基に作成しました。