گزارش وضعیت ریسک توسعه‌دهندگان در سال ۲۰۲۶: چالش‌های امنیتی در مدیریت دسترسی‌ها
99% of repository access tokens never expire
گزارش جدید BlueFlag Security نشان می‌دهد که عدم مدیریت صحیح دسترسی‌ها و توکن‌های منقضی‌نشده در محیط‌های توسعه، ریسک‌های امنیتی جدی ایجاد کرده است. بخش بزرگی از هویت‌های غیرانسانی و حساب‌های کاربری، دسترسی‌های بیش از حد و بدون نظارت به مخازن کد حیاتی دارند.
نقاط کور در حساب‌های کاربری و ابزارهای توسعه
بر اساس گزارش The State of Developer Risk 2026، بسیاری از توسعه‌دهندگان، پیمانکاران و ابزارهای خودکار، دسترسی‌هایی فراتر از نیاز کاری خود دارند که پس از پایان پروژه‌ها نیز باقی می‌مانند. به طور میانگین، ۶۱ درصد از دسترسی‌های اعطا شده به توسعه‌دهندگان بدون استفاده باقی مانده است. نکته نگران‌کننده این است که ۸۸ درصد از توسعه‌دهندگانی که بیشترین دسترسی‌های بلااستفاده را دارند، به مخازن حساس تجاری از جمله سیستم‌های پرداخت و سرویس‌های تولیدی دسترسی دارند.
علاوه بر این، ۸۰ درصد سازمان‌ها دارای حساب‌های کاربری غیرفعال با قدمت بیش از ۹۰ روز هستند که همچنان دسترسی‌های مدیریتی (Administrator) دارند. این حساب‌ها در صورت نفوذ، مسیر مستقیمی برای مهاجمان جهت دسترسی به تنظیمات و مخازن کد فراهم می‌کنند.
چالش‌های هویت‌های غیرانسانی و توکن‌های دسترسی
تعداد هویت‌های غیرانسانی شامل ربات‌ها، سرویس‌های متصل و توکن‌های دسترسی، هشت برابر تعداد توسعه‌دهندگان انسانی است. بررسی‌ها نشان می‌دهد که ۹۹ درصد از توکن‌های دسترسی به مخازن، فاقد تاریخ انقضا هستند. همچنین ۸۴ درصد از این توکن‌ها اجازه تغییر در کد را دارند و ۴۷ درصد آن‌ها بیش از ۹۰ روز است که استفاده نشده و ابطال نشده‌اند.
ریسک‌های ناشی از عوامل هوش مصنوعی (AI Coding Agents)
سازمان‌ها به طور متوسط از ۷ ابزار هوش مصنوعی استفاده می‌کنند و در ۸۳ درصد موارد، ابزارهای تایید نشده در شبکه حضور دارند. این عوامل یا تحت هویت توسعه‌دهنده فعالیت می‌کنند و یا به عنوان هویت‌های مستقل، قابلیت نوشتن، بررسی و ادغام کد را بدون نظارت انسانی دارند. ۶۸ درصد از هویت‌هایی که این عوامل تحت آن‌ها فعالیت می‌کنند، دارای دسترسی مدیریتی هستند و ۸۱ درصد آن‌ها فاقد سیستم‌های نظارت رفتاری می‌باشند.
فعالیت‌های غیرعادی و نقص در فرآیندهای امنیتی
نیمی از سازمان‌ها فعالیت‌های غیرعادی مانند جهش ناگهانی در کپی کردن (Cloning) مخازن را تجربه کرده‌اند. همچنین در ۴۰ درصد سازمان‌ها، شاخه‌های اصلی (Main Branches) مخازن محافظت‌نشده هستند. در ۸۰ درصد موارد، بازبینی کد توسط مدیران دور زده شده و در ۵۶ درصد سازمان‌ها، کدها با وجود شکست در بررسی‌های امنیتی ادغام شده‌اند. همچنین ۲۸ درصد سازمان‌ها با تغییر وضعیت مخازن خصوصی به عمومی مواجه شده‌اند که ریسک افشای کد و اعتبارنامه‌ها را به همراه دارد.
نکته‌های کلیدی
- ۹۹ درصد توکن‌های دسترسی به مخازن فاقد تاریخ انقضا هستند.
- هویت‌های غیرانسانی ۸ برابر بیشتر از توسعه‌دهندگان انسانی در سیستم‌ها حضور دارند.
- ۸۳ درصد سازمان‌ها از ابزارهای هوش مصنوعی تایید نشده استفاده می‌کنند.
- ۸۰ درصد سازمان‌ها دارای حساب‌های مدیریتی غیرفعال با قدمت بیش از ۹۰ روز هستند.
- بسیاری از سازمان‌ها فرآیندهای بازبینی کد را دور می‌زنند یا مخازن حساس را بدون محافظت رها کرده‌اند.
چه باید کرد
- اجرای فرآیندهای بازبینی دوره‌ای برای تمامی دسترسی‌های انسانی و غیرانسانی.
- تعیین تاریخ انقضا برای تمامی توکن‌های دسترسی به مخازن.
- شناسایی و ابطال حساب‌های کاربری و توکن‌های غیرفعال با قدمت بیش از ۹۰ روز.
- ایجاد لیست سفید برای ابزارهای هوش مصنوعی مجاز و نظارت بر فعالیت آن‌ها.
- فعال‌سازی محافظت از شاخه‌های اصلی (Main Branches) و اجباری کردن بازبینی کد.
- نظارت بر رفتارهای غیرعادی مانند کپی کردن انبوه مخازن توسط هویت‌های مختلف.