AIで「うっかりコミット」による機密情報漏えいを防ぐ GitHub MCPの新機能：コーディングエージェントがスキャン

GitHubは「GitHub MCP Server」経由でAIコーディングエージェントがコード変更内の認証情報をスキャンできる機能のパブリックプレビューを開始した。従来のリポジトリスキャンに加え、コミットやプルリクエストの前に認証情報の漏えいを検出できる。

[＠IT]

　GitHubは2026年3月17日（米国時間）、MCP（Model Context Protocol）対応環境で、AIコーディングエージェントがシークレット（認証情報や秘密鍵）をスキャンできる機能のパブリックプレビューを提供開始した。

「うっかりコミット」による漏えいリスクを未然に防ぐ　MCP環境の構築とプロンプト例

　ユーザーがAIコーディングエージェントにシークレットのチェックを依頼すると、「GitHub MCP Server」上のシークレットスキャンツールを呼び出す。エージェントがコードをGitHub MCP Server経由でシークレットスキャンエンジンに送信し、検出されたシークレットの場所と詳細を含む構造化された結果が返される。

GitHub MCP Serverによるシークレットスキャンの実行結果画面（提供：GitHub）

　同機能は「GitHub Secret Protection」が有効化されているリポジトリで利用可能だ。主な利用手順は以下の通り。

1. 開発環境にGitHub MCP Serverをセットアップする
   • 「GitHub Advanced Security」プラグインをインストールする
   • 「GitHub Copilot CLI」では「/plugin install advanced-security@copilot-plugins」コマンドを実行する
   • 「Visual Studio Code」（VS Code）では「advanced-security」エージェントプラグインをインストールする
2. エージェントにコミット前の変更をスキャンするよう依頼する
   • GitHub Copilot CLIでは「copilot --add-github-mcp-tool run_secret_scanning」コマンドでMCP Serverのスキャンツールを有効にする
   • Visual Studio CodeではCopilot Chatで「/secret-scanning」に続けてプロンプトを入力する

　コーディングエージェントにシークレットをスキャンさせるプロンプトの例は以下の通り。

「Scan my current changes for exposed secrets and show me the files and lines I should update before I commit」（現在の変更をスキャンして、漏えいの可能性があるシークレットを検出し、コミット前に修正すべきファイルと行番号を教えて）