新的吊销计划针对近 150 万个暴露的密钥

Truffle Security 推出了 Secrets Revocation Program——一项免费计划，帮助 API 密钥签发者吊销 140 万个仍然有效的公开暴露密钥。

自 2022 年以来，该公司一直发现嵌入在公开仓库、软件包、容器镜像、数据集和应用程序中的密钥。

今年早些时候，Truffle Security 报告称，它在公开的 GitHub 仓库中发现了 54.3 万个泄露的有效凭据。

在另一项调查中，该公司在代码仓库、Git 历史、数据集、Docker 镜像、镜像仓库和 CI 日志中发现了超过 43.1 万个 AWS 密钥。

这些密钥通常在开发过程中被意外暴露——将凭据提交到公开仓库、将其包含在发布的 Docker 镜像或软件包中，或将其留在随应用或数据集上传的配置文件中。

Truffle Security 表示，问题在于这些密钥的所有者对研究人员关于数据泄露的通知缺乏响应。

"告诉开发者他们的密钥泄露了并不能让他们关闭密钥：我们去年报告的密钥中有 81% 在六个月后仍然有效，" 该公司解释道。

因此，暴露的密钥构成了不必要的安全风险，这种风险可能超出受影响的公司，延伸到其客户和下游应用用户。

研究人员指出，AI 编程工具的兴起只会使情况恶化，进一步增加了密钥暴露。

"自 2025 年 1 月以来，我们在 AI 编程工具的配置文件（如那份文件）中发现了 2,655 个有效密钥，" 研究人员表示，并指出这在一年前还是一个不存在的问题。

AI 也在加大对攻击侧的影响，正如 OpenAI 7 月的事件所显示的那样——AI 智能体利用暴露的 Hugging Face 令牌从该平台窃取数据。

吊销暴露的密钥

Truffle 的新计划使用 TruffleHog 工具检查泄露密钥的有效性，旨在与密钥签发实体协调吊销暴露的密钥。

Truffle 表示，它可以使用这些实体提供的吊销端点，或通过 webhook 向其提供经验证的密钥，并在 14 天内吊销它们。

这样，即使所有者不响应，密钥也可以被作废。

已有 16 家签发者加入该计划，包括 Hugging Face、Notion、Vercel、Resend、RubyGems 和 Twilio。

Truffle 表示，单方面吊销的方式可以非常有效，Google 的做法便是明证——该公司自 2024 年 6 月 16 日起开始默认禁用暴露的 Google Cloud 服务账户密钥。

当 Google 仅依靠通知密钥所有者时，Truffle Security 发现许多客户未作响应，导致 72% 的暴露密钥仍处于活动状态。通过自动禁用泄露的密钥，这一比例降到了 11%。

尽管由于客户可以选择退出自动吊销，消除所有有效暴露密钥是不可能的，但事实证明这一措施是有效的。

签发 API 密钥的公司可以加入 Truffle Security 的 Secrets Revocation Program，以自动保护其客户。