A equipe produz mais software com agentes de código. O número absoluto de segredos expostos cresce. A conclusão mais rápida é dizer que a IA tornou os desenvolvedores descuidados. Os dados publicados pelo GitHub em 7 de outubro de 2026 complicam essa narrativa: o volume aumentou, mas a prevalência por push não apresentou tendência estatisticamente detectável no período analisado [1].
O que os nove trimestres mostram
Entre o segundo trimestre de 2024 e o segundo trimestre de 2026, o número de pushes examinados pelo GitHub cresceu 2,84 vezes. Os pushes nos quais o sistema encontrou credenciais cresceram 2,59 vezes. No segundo trimestre de 2026, foram 574 milhões de pushes públicos examinados, com segredos detectados em 0,47% deles [1].
Segundo a análise da própria plataforma, não houve tendência estatisticamente detectável na prevalência por push ao longo dos nove trimestres. Ao mesmo tempo, a proporção de bloqueios no caminho do push que os desenvolvedores decidiram ignorar caiu de 6,63% para 3,93% [1]. Isso não prova causalidade nem inocenta agentes. Mostra apenas que o aumento absoluto não pode ser apresentado, sozinho, como evidência de piora individual.
Taxa estável não significa carga estável
Se a prevalência permanece constante e o volume de código dobra, a quantidade esperada de exposições também dobra. O problema deixa de ser apenas comportamento e vira capacidade operacional. O GitHub reporta uma média próxima de 40 dias para revogação manual e aproximadamente um em cada cinco casos levando mais de 90 dias [1].
Esse intervalo é especialmente relevante quando agentes criam branches, dependências, configurações e integrações em paralelo. O segredo que atravessa o push pode autenticar um sistema real enquanto a fila humana de resposta continua crescendo.
Um em cada três pull requests envolve um agente
Na apresentação de resultados do quarto trimestre fiscal de 2026, a Microsoft afirmou que um em cada três pull requests no GitHub já envolvia um agente. O GitHub compara esse número a menos de um em dez um ano antes [1][2]. A métrica não diz quanto código foi escrito por IA, qual foi o papel do agente nem qual parcela chegou à produção. Ela sinaliza, porém, que controles pensados para fluxo predominantemente humano precisarão operar em outra escala.
Prevenir antes do histórico é mais barato
O GitHub informa que o push protection impede aproximadamente 30% dos segredos recém-detectados antes de entrarem no histórico; os 70% restantes são encontrados depois da exposição. A plataforma também reporta integração com mais de 150 parceiros emissores, alguns capazes de revogar automaticamente uma credencial notificada [1][3].
- Ative detecção e bloqueio no caminho do commit e do push, não apenas em auditorias posteriores.
- Use credenciais efêmeras, de escopo mínimo e fáceis de revogar para tarefas executadas por agentes.
- Separe segredos de produção dos ambientes de desenvolvimento e de execução automatizada.
- Meça prevalência por push, exposições absolutas, tempo de revogação e reincidência por fluxo.
- Integre detecção a revogação, rotação e emissão, reduzindo dependência de filas manuais.
- Teste falsos positivos e latência: um bloqueio que interrompe continuamente o trabalho será contornado.
Limites e conflito de interesse
- Os dados são proprietários do GitHub e não foram acompanhados de dataset bruto público para reprodução independente.
- O texto foi escrito pela liderança de produto de Secret Protection e apresenta um classificador em private preview; existe interesse comercial explícito.
- A análise cobre padrões de segredos suportados e pushes públicos examinados pela plataforma, não todo software produzido no mercado.
- Ausência de tendência detectável não prova ausência de efeito; depende do método, poder estatístico e período observados.
- O indicador de pull requests com agentes é uma declaração corporativa da Microsoft e não descreve autoria integral do código.
- A matéria não recebeu validação independente dos números operacionais até o corte editorial.
A regra prática: segurança precisa crescer sem contratar na mesma proporção
A capacidade de criar software está deixando de escalar apenas com headcount. A proteção não pode continuar dependente de cada pessoa perceber, investigar e revogar manualmente cada exposição. O desenho sustentável move o controle para antes do push, reduz o valor de cada credencial e fecha automaticamente o ciclo quando a exposição ainda acontece.
Nota editorial e de responsabilidade
Números e afirmações operacionais foram atribuídos diretamente ao GitHub e à Microsoft. O artigo separa esses dados de interpretação editorial e recomendações profissionais. Pontos de vista pessoais e profissionais do autor não são fatos universais. O conteúdo é informativo e não substitui avaliação técnica, jurídica, regulatória ou de segurança. GitHub, Microsoft e nomes de produtos pertencem aos respectivos titulares; não há patrocínio ou endosso. O conflito comercial da fonte é explicitado porque a publicação apresenta recursos próprios de Secret Protection. Tech Human e Trustyu também atuam comercialmente em desenvolvimento e governança de produtos digitais. Pesquisa, estrutura e redação tiveram assistência de IA; revisão factual, aprovação autoral e autorização de publicação foram confirmadas por Fernando Parreiras em 08/10/2026, sem revisão humana independente adicional.