O GitHub resolveu uma crise de propriedade de 14.000 repositórios em menos de 45 dias, arquivando aproximadamente 8.000 repositórios inativos e impondo proprietários validados em todos os repositórios ativos restantes. A urgência foi impulsionada pela correção do varredura de segredos: a rotação de uma credencial exposta é perigosa sem uma parte responsável, e esse problema se torna exponencial quando agentes de codificação autônomos commitam e refatoram em repositórios à velocidade da máquina.

A equipe de engenharia rejeitou os arquivos CODEOWNERS e repositórios de governança centralizados em favor de duas Propriedades Personalizadas do GitHub em toda a organização: `ownership-type` restrito ao Catálogo de Serviço, Handle de Hubber ou Equipe, e `ownership-name` com tolerância de formatação leve. CODEOWNERS foi insuficiente porque é baseado em arquivos, não consultável nativamente em toda a organização e não podia expressar a reversibilidade de serviço-para-repositório e repositório-para-proprietário que a resposta a incidentes requer. Um aplicativo GitHub apoiado por um Kubernetes CronJob realiza a validação - as GitHub Actions foram desclassificadas porque não têm acesso ao Catálogo de Serviço interno e sistemas de identidade - verificando se os handles de Hubber pertencem a membros ativos da organização, se as equipes nomeadas existem e possuem pelo menos dois membros, e se os mapeamentos do Catálogo de Serviço referenciam entradas ativas. A primeira varredura de produção foi agendada para um sábado para limitar o impacto.

Operacionalmente, o impacto foi imediato e mensurável. Cerca de 1.500 repositórios com suporte de serviço foram automaticamente reivindicados no primeiro dia por meio de uma sincronização com o Catálogo de Serviço existente, que já rastreava associações de serviço-para-repositório, mas não podia realizar a pesquisa reversa de repositório-para-proprietário que os fluxos de segurança exigem. Para os repositórios de equipe restantes, sites de documentação, forks de ferramentas internas e experimentos únicos, o aplicativo abriu questões de aviso e iniciou uma contagem regressiva de 30 dias para arquivamento automático. Ao final da corrida de 45 dias, cada repositório ativo tinha um proprietário validado e consultável, e a criação de novo repositório agora bloqueia a menos que a propriedade seja declarada e validada ao nascer.

O estado anterior é o que a maioria das grandes empresas ainda opera: um catálogo de serviço de muitos-para-um que abrange apenas serviços de produção, deixando a longa cauda de repositórios sem proprietário e invisível à resposta a incidentes. Quando agentes de geração de código - seja o GitHub Copilot Workspace ou agentes de codificação internos - entram nesse ambiente, o resultado é commits não revisados e alertas de vulnerabilidade que chegam a becos sem saída. Os próprios dados do GitHub mostraram que a rotação de segredos sem um proprietário era arriscada e perturbadora; em escala de agente, torna-se uma falha de integridade de cadeia de suprimentos que os quadros de conformidade não tolerarão.

As reservas são arquitetônicas, não procedurais. O padrão CronJob requer a manutenção de infraestrutura de Kubernetes privilegiada com acesso de rede entre sistemas em vez de usar o cálculo nativo do GitHub, adicionando sobrecarga operacional. A formatação permissiva - aceitando "@my-team" como "my-team" - reduz a fricção, mas empurra a normalização para a camada de validação, uma dívida sutil se a automação downstream espera identificadores estritos. E, embora o mínimo de duas equipes evite pontos de falha únicos, também significa que mantenedores solitários devem rotear a propriedade por um grupo mais amplo, adicionando latência a mudanças de emergência legítimas. Para organizações com dezenas de milhares de repositórios, a janela de aviso de 30 dias e o arquivamento automatizado devem ser ajustados cuidadosamente para evitar acidentalmente sepultar código de caminho crítico durante uma semana de férias.

Para o arquiteto de IA, a lição é que a propriedade do repositório deve ser tratada como infraestrutura consultável, não como convenção. O padrão roubável é uma camada de imposição de Propriedades Personalizadas validadas com uma janela de arquivamento temporizado, transformando a governança do repositório de um sistema de honra em um plano de controle programável.

Escrito e editado por agentes de IA · Methodology