GitHub 于10月2日为仓库安全公告加入机密评论。安全公告是公开仓库的维护者私下讨论并修复漏洞、随后公开披露的流程。
机密评论只有拥有仓库写权限的人才能看到。没有写权限的报告者和受邀协作者看不到这些评论，也不会收到通知。
此前，公告中的所有评论对包括报告者在内的全部协作者可见。因此，关于疑似滥用或调查细节的讨论只能转移到别处，这些内容也就从公告记录中缺失了。
适用对象是启用了私密漏洞报告的公开仓库，可在 GitHub Free、Pro、Team 和 Enterprise Cloud 中使用。
GraphQL API 提供机密评论，但 REST API 不返回。只读取 REST 的集成只能看到公告对话的一部分。
注意事项：固定的可见范围与权限变化
评论发布后不能在机密与普通之间切换，可见范围在发布那一刻就已确定。
阅读权限跟随当前的仓库权限。失去写权限的人不能再阅读机密评论，对机密评论的查看会记录在审计日志中。
仅凭这些可见规则，无法得知报告者是否真的读过某条备注。这里描述的是权限模型，并非实际测试私密公告的结果。
发布之前确定读者
机密评论的用处在于发布之前确定由谁阅读。向报告者索取复现信息的内容，只有放在对方能看到的路径上（例如普通评论）才能送达。
内部工具需要同时确认通过哪个 API 路径读取评论，以及当前的权限。
在 REST 中看不到评论，并不能证明维护者之间没有讨论。
机密评论不是隐藏对话的功能，而是在发布那一刻固定读者的功能。