GitHub добавил в коммиты третью личность: кто именно сделал push

GitHub начал долговременно записывать аутентифицированного пользователя, который выполнил push, и выводить эту личность в интерфейсе и API рядом с уже существующими полями author и committer. Функция называется push attribution и пока доступна в limited public preview. Анонс опубликован 12 октября 2026 года в GitHub Changelog. Теперь у каждого коммита есть три идентичности вместо двух, и одна из них подтверждена платформой.

Что именно изменилось

В git поля author и committer заполняются на стороне клиента. Их значения берутся из локального конфига или переменных окружения, и ничто не мешает выставить в них чужое имя и почту. GitHub сопоставляет такие адреса с аккаунтами и может пометить коммит как Verified, если он подписан, но подпись есть далеко не у каждого коммита. Сам факт «кто отправил это в репозиторий» в публичной истории раньше можно было восстановить только косвенно, например через события репозитория или аудит-логи.

Push attribution закрывает этот пробел. Платформа знает, кто аутентифицировался при push, и теперь сохраняет эту информацию как часть данных о коммите. Поле pusher отображается в UI и доступно через API.

Зачем это нужно в эпоху агентов

В анонсе мотивация подробно не расписана, поэтому дальше речь об инженерной логике, а не о заявлениях GitHub. Типичный коммит сегодня проходит через несколько рук. Автором может быть разработчик, committer меняется при rebase, squash или cherry-pick, а пушит всё это сервисный токен или ИИ-агент, работающий от имени пользователя. Три поля дают три разных ответа на вопрос «чей это код».

Для расследования инцидентов и проверок безопасности различие принципиально. Если вредоносный или просто сломанный коммит попал в ветку, автор в метаданных ничего не доказывает. Pusher показывает, чьи учётные данные использовались для доставки. Для организаций с требованиями комплаенса это ещё и способ отличать работу человека от работы автоматизации без ручной сверки логов.

Что известно и чего нет

• Статус: limited public preview, анонс от 12 октября 2026 года
• Новое значение: pusher, то есть аутентифицированный пользователь, выполнивший push
• Где видно: интерфейс GitHub и API, рядом с author и committer
• Источник данных: серверная аутентификация, а не клиентский git config
• Не раскрыто в анонсе: тарифы, список доступных аккаунтов и организаций, поведение для старых коммитов, точный формат поля в REST и GraphQL, представление GitHub Apps и ботов

Последний пункт самый интересный. Именно от того, как поле будет показывать приложения и агентов, зависит практическая ценность функции для тех, кто строит автоматизацию вокруг репозиториев.

Что проверить командам уже сейчас

Пока функция в превью, закладывать её в критичные процессы рано, но подготовиться можно. Во-первых, выясните, доступно ли превью вашей организации, и протестируйте его на неключевом репозитории. Во-вторых, проверьте, какие интеграции пушат в ваш код: личные токены, GitHub Apps, CI-раннеры, агенты. От этого зависит, что вы увидите в поле pusher. В-третьих, если у вас есть скрипты аудита, которые сейчас собирают «кто залил» из событий и логов, оцените, можно ли заменить их запросами к API, когда формат поля станет стабильным. И наконец, не отказывайтесь от подписи коммитов: pusher говорит о том, кто доставил код, но не доказывает, кто его написал.