140万枚API密钥仍可用，安全公司启动免费吊销计划

安全公司 Truffle Security 近日推出免费的 Secrets Revocation Program，计划帮助 API 密钥发行方吊销约140万枚已经公开泄露、却仍然有效的密钥。BleepingComputer 11月5日报道称，这些敏感凭据可能散落在公开代码仓库、软件包、容器镜像、数据集和应用程序中。它们通常不是被黑客直接攻破后窃取，而是开发人员在提交代码、发布 Docker 镜像或上传配置文件时，不小心把密钥一并公开。

Truffle Security 表示，自2022年以来一直在追踪这类问题。今年早些时候，公司曾报告在公开 GitHub 仓库中发现54.3万枚有效凭据；另一项调查还发现超过43.1万枚 AWS 密钥。真正令人担忧的是，发现泄露并通知持有人，并不代表风险就会自动消失。公司称，去年他们报告的密钥中，有81%在六个月后仍然能够使用。

随着AI编程工具普及，密钥暴露问题也出现新的入口。研究人员称，自2025年1月以来，他们在AI编程工具配置文件中发现了2655枚仍可使用的密钥。攻击者一旦获得这些凭据，就可能访问云服务、代码仓库或其他业务系统，进一步窃取数据或冒用账户。

新计划使用 TruffleHog 工具验证泄露密钥是否仍然有效，再通过发行方提供的吊销接口，或向发行方发送经过验证的密钥清单，推动在14天内完成吊销。已有16家发行方加入，包括 Hugging Face、Notion、Vercel、Resend、RubyGems 和 Twilio。Truffle 还举例称，Google 自动禁用暴露的云服务密钥后，仍处于激活状态的比例从72%降至11%。短评：密钥泄露不是简单删掉代码就能解决，真正的补救是让已经暴露的凭据失效。