דו"ח GitHub Octoverse: עידן ה-AI Agents והשפעתו על אבטחת מידע

⁦TL⁩;⁦DR⁩

• הקוד נכתב פי שלושה מהר יותר ממה שמישהו יכול לסקור אותו: GitHub רשם השנה 34.3 מיליארד התחייבויות, עלייה מ-12.9 מיליארד, ויותר מ-40% מבקשות המשיכה מתחילות כעת עם סוכן ⁦AI⁩ ולא אדם.

• המפתחים החדשים ביותר אינם מפתחים מקצועיים: מפתחים אזרחיים (Citizen developers) משחררים כעת אפליקציות שמחוברות למערכות עסקיות עם מפתחות API שמעולם לא למדו להגן עליהם. קוד שנוצר בעזרת Claude Code כבר מדליף סודות בתדירות גבוהה יותר מאשר קוד שנכתב על ידי אדם.

• מפתח שדלף חי זמן רב יותר מתוכנית האבטחה שלך: 64% מהאישורים שנמצאו כלא חוקיים היו עדיין תקפים גם ארבע שנים מאוחר יותר. בדוק אילו בקרות באמת עומדות בקצב של סוכנים, אוטומציה וכל מי שיכול כעת לשחרר קוד.

בכל שנה, אנו מצפים לדוח ה-State of the Octoverse של GitHub. זהו אחד האינדיקטורים המובילים הטובים ביותר לאן צועד פיתוח התוכנה, ולמה שתעשיית הטכנולוגיה יכולה לצפות בשנים הקרובות. הדוח השנה מרגש במיוחד, והמספרים מדהימים.

במהלך השנה האחרונה, מפתחים יצרו 34.3 מיליארד commits ב-GitHub, לעומת 12.9 מיליארד בשנה הקודמת. זו עלייה של כמעט פי שלושה בפעילות בתוך שנה אחת בלבד. ראוי לציין עוד יותר שלמעלה מ-40% מבקשות המשיכה (pull requests) מתחילות כעת עם סוכן AI, לעומת 17% בלבד שישה חודשים קודם לכן. GitHub Actions ביצעו גם יותר מ-45 מיליארד הרצות (jobs), יותר מפי שלושה מהסך הכולל של השנה הקודמת.

המספרים הללו מסמנים שינוי מהותי במי שיוצר תוכנה ובאיזו מהירות היא נבנית. מפתחים מקצועיים עובדים מהר יותר, מפתחים אזרחיים יוצרים אפליקציות בעזרת AI, וסוכנים אוטונומיים לוקחים על עצמם יותר משימות פיתוח.

המספרים האלו מדאיגים גם כשמתחשבים במגמות שכבר דווחו בדוחות אחרים, כמו State of Secrets Sprawl 2026 של GitGuardian, שתיעד שיא של 28.65 מיליון סודות שנחשפו בציבור בתוך commits ב-GitHub במהלך 2025.

המגמות המתעוררות ב-⁦GitHub⁩ היום מראות לאן פנינו מועדות כתעשייה ואיזה ארגונים בכל מקום ינהלו בקרוב. להלן חמשת הממצאים שבלטו לצוות שלנו ומה הם מספרים לנו על עתיד אבטחת התוכנה.

חמש נקודות חשובות מ-⁦GitHub Octoverse⁩ 2026

הדוח האחרון של GitHub ⁦Octoverse⁩ חושף באיזו מהירות ⁦AI⁩ משנה את פיתוח התוכנה. להלן הנתונים הסטטיסטיים המובילים שצצו לצוות שלנו:

1. פיתוח התוכנה מואץ מהר יותר מאי פעם

GitHub רשמה 34.3 מיליארד commits בשנת 2026, לעומת 12.9 מיליארד בשנה הקודמת. זו לא עלייה קטנה, זה פיצוץ. דחיפות הקוד (pushes) גדלו בכ-167% והגיעו ל-17.9 מיליארד.

הדו"ח State of Secrets Sprawl 2026 של GitGuardian כבר תיעד עלייה של 43% ב-commits ציבוריים במהלך 2025, לצד עלייה של 34% בסודות חשופים. המחקר הראה את המספר הגבוה ביותר שנרשם אי פעם בשנה שעברה, עם 28.65 מיליון סודות חדשים ב-commits ציבוריים ב-GitHub. אמנם GitHub Push Protection משפיע על הקצב, אך לפי המספרים שלהם, הם ביצעו 5.8 מיליארד סריקות השנה לעומת סך של 17.9 מיליארד דחיפות. זה מרמז שרוב דחיפות הקוד נשארות ללא סריקה, מה שמתיישב עם המסקנה שלנו ש-Push Protection אינו פתרון קסם.

כמעט בכל דוחות האבטחה האחרונים, ראינו מגמה עקבית של צמיחה מהירה. כאשר ייצור התוכנה מואץ, ארגונים זקוקים לאיתור סודות ובקרות אבטחה של אישורים שעומדים בקצב הפיתוח.

2. סוכנים ⁦AI⁩ הופכים למפתחי תוכנה יומיומיים

במרץ 2026, כ-17% מבקשות המשיכה התחילו עם סוכן AI. עד ספטמבר, נתון זה עלה על 40%, המייצג כ-110 מיליון בקשות משיכה שהחלו על ידי סוכנים בחודש אחד.

זיהינו בעבר את השלכות האבטחה של פיתוח מבוסס AI. קוד שנוצר בעזרת Claude חשף סודות בקצב של בערך פי שניים מהשיעור הבסיסי, כאשר 3.2% מהם הכילו סוד, בהשוואה ל-1.5% בכלל ה-commits הציבוריים. אנו מאמינים שזה מרמז על כך שאנשים לא סוקרים את הקוד לעומק מספיק כדי לתפוס בעיות אבטחה שה-AI מחדיר.

סוכני קידוד מבוססי AI יוצרים הזדמנויות רבות לחשיפה לא מכוונת של אישורים ולגישה למערכות רגישות במהלך משימות פיתוח לגיטימיות. בקרות אבטחה מונעות צריכות לפעול בזמן פעילות הסוכן, לצד סריקת קוד מקור מסורתית.

3. מפתחים אזרחיים מרחיבים את יצירת התוכנה לכל תעשייה

GitHub מדווחת על יותר מ-225 מיליון מפתחים בפלטפורמה שלה. מאגרים ציבוריים הקשורים לתעשיות שניתן לזהות גדלו מכ-9 מיליון ב-2022 ל-25 מיליון ב-2026.

כלי פיתוח מבוססי AI מקלים על עובדים ללא ניסיון תכנות מסורתי לבנות יישומים. מפתחים אזרחיים יכולים כעת ליצור לוחות מחוונים פנימיים, להפוך זרימות עבודה עסקיות לאוטומטיות ולשלב שירותים חיצוניים באמצעות הוראות בשפה טבעית.

יישומים אלה דורשים לעתים קרובות גישה למערכות עסקיות באמצעות מפתחות API ואישורי שירות. למפתחים אזרחיים עשוי להיות ניסיון מוגבל בניהול סודות, אבטחת יישומים או הרשאות ענן.

ארגונים זקוקים לתהליכי פיתוח מאובטחים הנגישים לעובדים מכל המחלקות. הגדרות ברירת מחדל בטוחות לטיפול באישורים מאפשרות למפתחים אזרחיים לבנות יישומים שימושיים תוך הפחתת החשיפה. מעקות בטיחות נכונים בתהליכי עבודה נכונים יכולים למנוע בעיות רבות.

4. מכונות מפתחים הן גבול אבטחה קריטי

⁦AI⁩ עוזרי קידוד פועלים לרוב ישירות בתוך סביבות מפתח. הם יכולים לקרוא קבצי פרויקט, לבדוק תצורות של יישומים ולבצע פקודות כחלק מעבודת פיתוח שגרתית.

מחקר על הגל הגדול השני של מתקפת שרשרת האספקה Shai-Hulud זיהה 33,185 סודות ייחודיים ב-6,943 מכונות שנפרצו. מחקר נקודת קצה נפרד מצא ש-40% מהסודות בדרגת חומרה גבוהה וקריטית שזוהו במחשבים ניידים של מפתחים היו ממוקמים בתוך ספריות ויומנים של כלי AI.

גילוי וביטול אישורים מקומיים מיותרים מפחיתים את החשיפה. בקרות מניעה כגון git hooks מספקות הגנה נוספת כאשר סוכנים מקיימים אינטראקציה עם קבצים וכלים.

5. אוטומציה צומחת מהר יותר מאשר תיקון אישורים מסורתיים

GitHub Actions ביצעו כ-45.4 מיליארד הרצות (jobs) בתקופת הדיווח האחרונה, לעומת 14 מיליארד בשנה הקודמת. זה מייצג צמיחה של יותר מ-220% בפעילות פיתוח אוטומטית.

ככל שהאוטומציה גוברת, ארגונים חייבים לנהל מספר גדל והולך של אישורים וההרשאות הנלוות להם. זה כולל מעבר למנגנוני אימות קצרים יותר.

יותר מ-64% מהאישורים, שנמצאו במקור תקפים, נשארו תקפים במשך יותר מארבע שנים, על פי המחקר שלנו. הדו"ח גם הראה שניתן לפספס 46% מהסודות הקריטיים כאשר תעדוף מסתמך אך ורק על אימות ספק.

ככל שפיתוח תוכנה ואוטומציה ממשיכים להאיץ, זיהוי אישורים חשופים, תיקון סיכונים קיימים ומניעת חשיפות חדשות חייבים להפוך לחלק מתהליך העבודה היומיומי של פיתוח.

לפרטים נוספים, קרא את הדו"ח המלא של ⁦GitHub Octoverse⁩ 2026 כאן.

שלבים מעשיים לאבטחת פיתוח מבוסס AI

כאשר סוכני AI ומפתחים אזרחיים לוקחים על עצמם יותר משימות פיתוח, ארגונים צריכים לתת את הדעת על האופן שבו ניגשים לאישורים, משתפים אותם ומשתמשים בהם לאורך זרימות העבודה הללו. כמה בקרות מעשיות יכולות לעזור לצוותים לאמץ פיתוח מהיר יותר תוך הפחתת הסיכונים של חשיפה לא מכוונת של אישורים.

1. מצא והסר אישורים חשופים במכונות מפתחים

תחנות עבודה של מפתחים מכילות לעתים קרובות אישורים בקבצי תצורה מקומיים, משתני סביבה והגדרות יישומים. תוקפים מכוונים אליהם יותר ויותר באמצעות התקפות שרשרת אספקה מבוססות גנבי מידע (infostealers). סוכני קידוד מבוססי AI יכולים להיתקל באישורים אלה ולהשתמש בהם באופן בלתי צפוי בזמן ביצוע משימות שגרתיות. הפתרון Developer Endpoint Protection של GitGuardian עוזר לזהות סודות חשופים במכונות מפתחים ומספק הקשר לתיקון. העברת אישורים בטקסט רגיל לניהול מאובטח של סודות מפחיתה גם היא את הסיכון לגישה לא מכוונת.

2. בנה הגנה על אישורים לתוך זרימות עבודה ⁦AI⁩

עוזרי קידוד מבוססי AI מקיימים יותר ויותר אינטראקציה עם קבצים מקומיים ושירותים חיצוניים בשם המפתחים. GitGuardian AI Hooks יכולים למנוע חשיפת אישורים במהלך אינטראקציות אלו. הטמעת בקרות מניעה ישירות בזרימות העבודה של הסוכן מאפשרת למפתחים להפיק תועלת מאוטומציית AI בביטחון רב יותר. זה משלים את השימוש ב-git hooks המופעלים לפני ה-commit כדי לתפוס סודות לפני שהם נכנסים לקוד, דבר שמפתחים רבים כבר אימצו.

3. הפוך ניהול סודות מאובטח לנגיש לכולם

מפתחים אזרחיים זקוקים לדרכים פשוטות לחיבור מאובטח של אפליקציות למערכות עסקיות. ניהול סודות מרכזי והרשאות גישה מתאימות מספקים בסיס לפיתוח בטוח יותר. GitGuardian עוזרת לצוותים לזהות אישורים חשופים, להבין את הבעלות עליהם ואת ההשפעה הפוטנציאלית שלהם, ולתעדף את התיקון. אנו עובדים עם פתרונות מובילים לניהול סודות כדי להקל על ביצוע Push-to-Vault לכל אישור חשוף שנמצא בטקסט רגיל. יכולות אלו עוזרות לארגונים לבסס נוהלי אבטחת אישורים עקביים בקרב מפתחים בכל רמות הניסיון.

4. חיזוק אבטחת שרשרת האספקה ​​באמצעות הגנה על אישורים

פיתוח מבוסס AI מאיץ את היצירה של יישומים ותשתיות. אישורים המשמשים מאגרים, מערכות בנייה וצינורות פריסה (deployment pipelines) יכולים לספק גישה לחלקים קריטיים בשרשרת האספקה של התוכנה. GitGuardian מסייעת לצוותים לזהות ולתקן אישורים חשופים תוך מניעת חשיפות חדשות באמצעות סריקה מקומית ואינטגרציות בתוך זרימות העבודה של הפיתוח. זה מצמצם את ההזדמנויות לפריצה לאישורים בזמן שאספקת התוכנה ממשיכה להאיץ.

פיתוח מבוסס AI דורש גישה חדשה לאבטחה

⁦State⁩ של GitHub של ⁦Octoverse⁩ 2026 מאשר כי ⁦AI⁩ משנה מהותית את אופן יצירת התוכנה ומי יכול ליצור אותה. מפתחים ⁦Professional⁩ מייצרים קוד בקצבים חסרי תקדים, ⁦AI⁩ סוכנים לוקחים על עצמם משימות מורכבות יותר ויותר, ומפתחים אזרחיים בונים יישומים שהיו דורשים כישורי הנדסה מיוחדים רק לפני כמה שנים.

מספר היישומים, האינטגרציות והאישורים שארגונים חייבים לאבטח מעולם לא גדל כל כך מהר. משטח ההתקפה גדול בהרבה כעת. הדו"ח State of Secrets Sprawl 2026 של GitGuardian כבר הראה עלייה בסודות חשופים לצד הצמיחה של פיתוח מבוסס AI. ככל שיותר עובדים וסוכנים אוטונומיים יוכלו לבנות ולפרוס תוכנה, הסיכונים הללו ימשיכו לאתגר את תהליכי האבטחה המסורתיים.

ארגונים זקוקים לגישה מקיפה לאבטחת שכבת האישורים המותאמת למציאות הפיתוח החדשה הזו. פלטפורמת GitGuardian מטפלת בכל שכבת האישורים, ועוזרת לארגונים לזהות סודות חשופים בסביבותיהם, לתקן סיכוני אישורים עם ההקשר הדרוש לתעדוף פעולות, ולמנוע חשיפות עתידיות לאורך מחזור חיי הפיתוח. מכיוון שמפתחים אזרחיים וסוכני AI מאיצים את יצירת התוכנה, גישה זו מאפשרת לארגונים לשמור על שליטה על האישורים שלהם תוך תמיכה בחדשנות בקצב חסר תקדים.

מוכן ללמוד עוד? צא לסיור מהיר בפלטפורמה שלנו. נשמח לעבוד איתך אם תרצה להתחיל לאבטח את שכבת האישורים שלך עוד היום.

⁦FAQ⁩

ה-State of the Octoverse הוא הדו"ח השנתי של GitHub על האופן שבו פיתוח תוכנה משתנה. מהדורת 2026 מציגה 34.3 מיליארד commits, לעומת 12.9 מיליארד בשנה הקודמת, יחד עם צמיחה מהירה בפעילות סוכני AI ואוטומציה. זהו אינדיקטור מוביל ושימושי למה שארגונים בכל מקום יצטרכו לנהל בקרוב.