扫描发现码云(Gitee)公开仓库里有2.64万个云服务或AI密钥 都是开发者操作失误导致泄露
内容提要
安全研究员扫描Gitee约725万个公开仓库，发现2.6万个仍有效的泄露凭证，多因开发者误将密钥提交至代码库，即使删除仍留存于Git历史。其中阿里云密钥最多（9473个），另有DeepSeek、智谱、OpenAI、AWS、GitHub等平台密钥。2025年提交的凭证约半数有效。研究员已通报服务商撤销密钥，并建议开发者自查。
延伸解读
Git历史是密钥泄露的“隐形仓库”
文章指出，开发者即使后来从当前文件中删除密钥，旧提交中仍然保留原始内容，因此Git历史成为密钥泄露的隐蔽渠道。这意味着仅删除当前文件并不足以消除风险，任何能访问仓库历史的人仍可能获取有效凭证。开发者需意识到版本控制系统的这一特性，在清理密钥时必须重写历史或彻底撤销密钥。
AI平台密钥成泄露重灾区
扫描结果显示，AI平台密钥在有效凭证中占比较高，包括DeepSeek 3170个、智谱1489个、OpenAI 1348个。这反映出随着AI服务普及，开发者可能更频繁地将API密钥硬编码在代码中。此类密钥一旦泄露，可能导致服务被滥用或产生意外费用，相关平台和开发者需加强密钥管理意识。
高权限凭证泄露的潜在危害
报告提到某大型企业AI平台的组织管理员凭证出现在扫描结果中。这类高权限凭证若被他人获取，可能危及账户管理和各类资源的安全。文章虽未详述具体影响，但提示读者：并非所有密钥风险相同，权限越高的凭证泄露后果越严重，应优先排查和撤销。
泄露规模大，开发者需主动自查
研究人员已向暴露数量较高的服务商通报，但由于泄露规模太大，无法逐个联系受影响开发者，且截至发稿时服务商尚未确认撤销。因此文章建议开发者自行检查仓库，查找是否有泄露情况。这提醒读者不能完全依赖服务商通知，应主动排查自身代码库中的敏感信息。
Q&A
Gitee上泄露的密钥主要涉及哪些平台？
泄露的密钥涉及阿里云、AWS、MongoDB、YouTube、DeepSeek、智谱、OpenAI、GitHub等平台。其中阿里云密钥最多，达9473个；AI平台密钥也是重灾区，如DeepSeek 3170个、智谱1489个、OpenAI 1348个。
为什么开发者删除了密钥文件，密钥还是会泄露？
因为Git会保留历史提交记录。即使开发者后来从当前文件中删除了密钥，旧提交中仍然保留原始内容，通过Git历史依然可以查到泄露的密钥。
这次Gitee密钥泄露的规模有多大？
安全研究员扫描了Gitee上约725万个公开仓库，发现2.64万个经过验证仍然有效的私有凭证。其中2025年提交的记录中包含12242个有效凭证，约占全部有效凭证的50%。
泄露的密钥中哪种类型最多？
泄露的密钥中阿里云的有效用户平台访问凭证最多，达到9473个。其次是YouTube API密钥3805个，DeepSeek API密钥3170个，智谱API密钥1489个，OpenAI API密钥1348个等。
研究员发现密钥泄露后采取了什么措施？
研究员已向暴露数量较高的服务商发送报告，提供有效凭证和来源仓库信息，帮助服务商识别受影响客户并撤销密钥。但由于规模太大，无法逐个联系开发者，建议开发者自行检查仓库。
开发者应该如何防止类似密钥泄露？
开发者应避免将硬编码的API凭证直接写在文件里提交，可以使用环境变量或密钥管理服务。同时定期检查仓库历史，确保没有敏感信息残留，一旦发现泄露立即撤销密钥。
