#安全资讯 研究人员扫描中国开源仓库托管平台码云 (Gitee)，在 725 万个公开仓库里发现 2.6 万有效的 API 密钥。即开发者操作失误不慎将敏感密钥也公开到仓库里，有些开发者初始提交泄露密钥，虽然后面更新文件删除密钥，但 Git 历史还是可以查到。涉及的平台包括阿里云、AWS、OpenAI、智谱、GitHub 等等。查看全文：https://ourl.co/127832
独立安全研究员本奇莫尔曼对中国本土开源仓库托管平台码云 (Gitee) 进行扫描，扫描目标主要是托管在码云上的公开仓库。扫描结果显示：扫描 725 万个仓库后发现 2.6 万个经过验证仍然有效的私有凭证，涉及阿里云、DeepSeek、OpenAI、智谱等等。
研究人员使用开源工具扫描公开仓库，在扫描时也向相关服务商的接口验证找出来的凭证是否有效，统计结果按照密钥内容进行去重，例如某个密钥在多个仓库里重复出现那也只计算 1 次。
扫描结果如下：
- 云计算：阿里云 有效的用户平台访问凭证 9473 个
- 云计算：亚马逊 AWS 有效的访问凭证 338 个
- 数据平台：MongoDB 有效的访问凭证 220 个
- 视频网站：YouTube 有效的 YouTube API 访问凭证 3805 个
- 人工智能：深度求索 DS 平台 有效的 API 密钥 3170 个
- 人工智能：智谱 API 平台 有效的 API 密钥 1489 个
- 人工智能：OpenAI 有效的 OpenAI API 密钥 1348 个
- 开发者平台：GitHub 有效的访问凭证 600 个
报告还提到某家大型企业 AI 平台的组织管理员凭证出现在扫描结果中，此类拥有极高权限的凭证如果被他人获取，可能会给账户管理和各类资源带来安全风险。
Git 会保留历史提交，因此开发者即使后来从当前文件中删除密钥，旧提交中仍然可能保留原始内容。扫描显示 2025 年提交的记录中包含 12242 个验证有效的凭证，占全部有效凭证的 50% 左右。
可以看到这些泄露的凭证基本都是开发者操作失误造成的，有些是在初始提交中泄露，更多则是开发者不慎将硬编码的 API 凭证直接写在文件里提交。
安全研究员表示已经向暴露数量较高的服务商发送报告，提供相关有效凭证和来源仓库信息，帮助这些服务商识别受影响的客户并撤销已经泄露的密钥。
不过由于此次泄露规模太大，所以研究人员无法逐个联系受影响的开发者，截至本文发布时相关服务商尚未确认已经撤销泄露的密钥，所以建议开发者自行检查仓库查找是否有泄露情况。
